項目五

針對多媒體進行取證掌握簡單數(shù)據(jù)隱藏的方法和相應(yīng)的取證分析方法理解數(shù)字隱寫術(shù)和數(shù)字隱寫分析技術(shù)的概念掌握簡單LSB數(shù)字隱寫方法和相應(yīng)的取證分析方法了解數(shù)字圖像內(nèi)容篡改的主要方法理解數(shù)字圖像內(nèi)容認證的目的和意義了解數(shù)字圖像內(nèi)容認證的三類主要方法學(xué)習(xí)目標案例1當(dāng)Tom在調(diào)查過程中對Adam的計算機磁盤鏡像進行數(shù)據(jù)恢復(fù)等操作后，發(fā)現(xiàn)其中存在大量可疑的數(shù)碼照片，以及一些文件大小異常的“普通”文件。Tom懷疑可能有公司機密資料隱藏在這些圖像文件和這些“普通”文件中，那么如何根據(jù)自己的懷疑進行進一步的深入取證調(diào)查和分析呢？項目說明案例2項目說明項目任務(wù)對采用簡單數(shù)據(jù)隱藏方式隱藏秘密信息的載體文件進行調(diào)查分析；對采用數(shù)據(jù)隱寫術(shù)隱藏秘密信息的載體圖像進行調(diào)查分析。鑒定該數(shù)碼圖像的內(nèi)容是否被篡改；如果該圖像的內(nèi)容被篡改，找出圖像中的哪些內(nèi)容被篡改。6數(shù)字圖像基礎(chǔ)基礎(chǔ)知識7什么是數(shù)字圖像一幅圖像可以定義為一個二維函數(shù)f=F(x,y)，這里x和y是空間坐標，而在任何一對空間坐標(x,y)上的幅值f稱為該點圖像的強度或灰度。當(dāng)x、y和f為有限、離散的數(shù)值時，稱該圖像為數(shù)字圖像。數(shù)字圖像是由有限的元素組成的，每個元素都有一個特定的位置和幅值，這些元素稱為圖像像素?；A(chǔ)知識8什么是數(shù)字圖像一般來說，n位灰度數(shù)字圖像就是以小于2n的非負整數(shù)，按照某種方式排列而成的數(shù)字集合，換言之，就是這些數(shù)字組成的正整數(shù)矩陣?；A(chǔ)知識9什么是彩色數(shù)字圖像以24位RGB圖像為例說明。自然界中的所有顏色都可以由紅、綠、藍(R，G，B)組合而成。有的顏色含有紅色成分多一些，有的少一些。針對含有紅色成分的多少，可以分成0到255共256個等級，0級表示不含紅色成分；255級表示含有100%的紅色成分。同樣，綠色和藍色也被分成256級。這樣，根據(jù)紅、綠、藍各種不同的組合我們就能表示出256×256×256，約1600萬種顏色。這種圖叫做真彩色圖(truecolor)，又叫做24位色圖。真彩色圖并不是說一幅圖包含了所有的顏色，而是說它具有顯示所有顏色的能力，即最多可以包含所有的顏色?；A(chǔ)知識10什么是彩色數(shù)字圖像RGB基礎(chǔ)知識11什么是調(diào)色板圖像像素矩陣索引表基礎(chǔ)知識12什么是調(diào)色板圖像一個例子一個200×200，共16種顏色的彩色圖，每個像素均用R、G、B三個分量表示。每個分量要用8bit，即1byte來表示，每個像素需要用3byte。整個圖象要用200×200×3，約120k個byte。

基礎(chǔ)知識13什么是調(diào)色板圖像因為這幅圖中最多只有16種顏色，所以可以用一個表，表中每行記錄一種顏色的R、G、B值。當(dāng)表示一個像素顏色時，只需指出該顏色是在表中第幾行，即該顏色在表中的索引值。這樣16種狀態(tài)可以用4bit表示，一個像素用0.5byte。整個圖像要用200×200×0.5，約20kbyte，再加上顏色索引表占用的3×16=48byte。整幅圖像的占用byte數(shù)約為前面的1/6?；A(chǔ)知識14數(shù)字圖像的分類數(shù)字圖像基本可分為未壓縮圖像、壓縮圖像和調(diào)色版圖像。目前廣泛使用的未壓縮圖像主要有真彩BMP、無壓縮的TIFF-G等格式。目前廣泛使用的壓縮圖像主要有JPEG、采用JPEG壓縮的TIFF-R、JP2等格式。另外一類圖像是調(diào)色板圖像，主要有含調(diào)色板的BMP、GIF、TIFF-P等格式?；A(chǔ)知識15偽造新聞?wù)掌?003《洛杉磯時報》發(fā)自伊拉克前線的報道是拼接結(jié)果基礎(chǔ)知識16美國大選中的傳媒丑聞2004年美國大選“新聞”基礎(chǔ)知識17其他例子蓋茨用蘋果布什吐煙圈克林頓和克里基礎(chǔ)知識18西安大水和藏羚羊2004年美聯(lián)社夸大西安水災(zāi)藏羚羊：2006年獲獎2008年揭穿基礎(chǔ)知識19廣場鴿和第一爆2006年中國國際新聞攝影比賽金獎作品“中國農(nóng)村城市化改革第一爆”被取消獲獎資格2005年中國國際新聞攝影比賽金獎作品“廣場鴿接種禽流感疫苗”備受質(zhì)疑基礎(chǔ)知識20伊朗的導(dǎo)彈試驗真實的實驗照片紐約時報質(zhì)疑伊朗導(dǎo)彈試驗是否完全成功？基礎(chǔ)知識21FBI的拉登近照本拉登西班牙議員拉登近照基礎(chǔ)知識22華南虎事件2007年“華南虎”事件基礎(chǔ)知識23圖像篡改方式24篡改的方法(1)合成25圖像篡改方式圖像合成(Compositing)這是圖像(音/視頻)惡意篡改中使用最多的一種方法，它主要將兩幅或多幅不同圖像的內(nèi)容信息，通過拼接等方法組合成一幅與事實不相符的圖像，如下圖等都屬于合成的圖像。5名嘉賓的真實合影照，英國文體大臣珀內(nèi)爾在同一地點的單人照，合成照。26圖像篡改方式圖像局部信息修改(Re-touching)與圖像合成技術(shù)不同，Re-touching技術(shù)一般不需要借助其它圖像的信息。典型的操作如區(qū)域復(fù)制篡改技術(shù)。該技術(shù)把圖像中的某一塊區(qū)域進行復(fù)制并粘貼到同一圖像的不同區(qū)域中，以達到去除圖像中某一重要特征的目的。圖像修復(fù)技術(shù)(Inpainting)，它可以利用圖像本身紋理等信息，自動地去除同一圖像中某一選定的區(qū)域，并自動填補出與背景區(qū)域相似的信息，使得篡改后圖像難以被人眼發(fā)覺。其它的Re-touching方法還有模糊技術(shù)(Bluring)、銳化技術(shù)(Sharpening)，噴槍技術(shù)(Air-Brushing)、涂抹技術(shù)(Smudging)等。27區(qū)域復(fù)制篡改修復(fù)篡改28變形技術(shù)(Morphing)此技術(shù)需要一個源圖像以及一個目標圖像。一般而言，源圖像與目標圖像在形體上要存在一定的相似性。通過Morphing處理，我們可以生成出從源圖像向目標圖像逐漸轉(zhuǎn)變的一系列圖像，其中得到的圖像序列既有源圖像的性質(zhì)也同時有目標圖像的性質(zhì)。從而可以得到一些同時具備兩種形體特征的，但在現(xiàn)實中又不存在的物體，如下圖所示。29計算機圖形(CG:ComputerGraphics)CG并非來源于現(xiàn)實物體中的光，它是由曲線或曲面構(gòu)造而成，并可用數(shù)學(xué)的解析式表示。CG完全是計算機生成的產(chǎn)物。計算機圖形學(xué)已在工業(yè)設(shè)計等領(lǐng)域得到了廣泛的應(yīng)用。隨著技術(shù)的不斷發(fā)展，如今計算機產(chǎn)生的圖形越來越逼近現(xiàn)實中所拍攝的圖像，可以達到以假亂真的程度。與Morphing技術(shù)相似，CG可以產(chǎn)生出一些非現(xiàn)實的事物或現(xiàn)實中難以做得的場景等，因此被廣泛應(yīng)用到電影設(shè)計等領(lǐng)域，目前許多好萊塢的大片都成功利用了圖形學(xué)技術(shù)。同時，CG也為圖像篡改提供了一個有力的工具。30CG例子。圖形來源于/gallery/31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46繪畫(painted)專業(yè)人員或者藝術(shù)家利用圖像處理軟件(如AdobePhotoshop)進行圖像制作。二次獲取圖像(rebroadcast)“現(xiàn)場”圖像—景物內(nèi)容經(jīng)過一次圖像獲取設(shè)備獲得，“二次獲取”圖像—景物內(nèi)容經(jīng)過兩次以上圖像獲取設(shè)備獲得，如照片的掃描圖，照片的照片。AlyssaMonksCarlBrendersDavidKassan

案例1中，Tom懷疑某些圖像文件中可能隱藏有公司機密資料，為了證實自己的設(shè)想，決定深入分析這些可疑的文件。由于采用通常的方式打開這些文件沒有在所顯示的文件內(nèi)容中找到可用的信息，Tom決定利用針對簡單數(shù)據(jù)隱藏方法的分析方法對可疑文件進行分析，并且對經(jīng)過簡單數(shù)據(jù)隱藏分析后沒有獲取有用信息的可疑數(shù)字圖像文件，采用隱寫分析的方法進行調(diào)查。項目分析案例2中，調(diào)查取證人員對案例進行初步分析后，認為該圖像篡改主要采用的方法可能是“圖像局部信息修改”，即復(fù)制同一圖像中的某個部分，并粘帖到該圖像的另一個區(qū)域中?；谶@樣的初步判斷，調(diào)查人員決定采用“圖像分塊相關(guān)性比對”的方法進行分析和鑒定，從而確定該數(shù)碼圖像的內(nèi)容是否被篡改，和圖像中什么內(nèi)容被篡改。項目分析任務(wù)一：對簡單數(shù)據(jù)隱藏進行分析項目實施針對最簡單的數(shù)據(jù)隱藏方式進行分析修改文件后綴名方式修改注冊表隱藏文件或隱藏分區(qū)項目實施插入式數(shù)據(jù)隱藏分析從Adam的辦公計算機磁盤取證鏡像中提取可疑的“.doc”文件采用16進制編輯器WinHex（打開這份“.doc”文件利用WinHex的數(shù)據(jù)查找功能在打開的16進制代碼中查找“JPEG”文件的文件特征信息（如查找JPEG圖像文件起始處十六進制標識——“FFD8H”）；項目實施插入式數(shù)據(jù)隱藏分析當(dāng)搜索到這樣的標識后，將標識以前的所有16進制代碼全部刪除然后保存文件，并使用圖片查看工具查看是否顯示出圖像如果沒有顯示出圖像，則重復(fù)執(zhí)行上面兩步，直到提取出隱藏的“JPEG”圖片信息；項目實施任務(wù)二：利用隱寫分析技術(shù)分析可疑圖像項目實施隱寫概述：什么是隱寫隱寫概述：什么是隱寫隱寫概述：什么是隱寫載體信號+隱秘信息=載密信號密碼學(xué):隱藏隱秘信息的內(nèi)容隱寫術(shù):隱藏通信本身101101011010101010100101000101101101101010100101011010101011110000101010100101110101101011010100101001000010011101010011110110111101110111010001+=隱寫概述：什么是隱寫隱寫概述：隱寫性能指標容量安全性感知質(zhì)量魯棒性隱寫隱寫概述：隱寫性能指標感知保真度存在安全性統(tǒng)計安全性隱寫容量隱寫典型隱寫算法LeastSignificantBit(LSB)隱寫算法。LSBMatch隱寫算法LSB隱寫算法LSB隱寫算法是隱寫調(diào)制方法中最為簡單的隱寫調(diào)制方法，算法將載體圖像嵌入域的最低位平面直接替換為隱秘信息比特流，接受者根據(jù)密鑰在載密圖像中直接提取出載密域最低比特位平面中的隱秘比特流并解密得到隱秘信息。LSB隱寫算法可以在隱藏大量信息時仍然具有很好的感知質(zhì)量，圖像空域LSB算法的峰值信噪比（peaksignal-to-noiseratio，PSNR）往往在50dB以上（人眼一般不能察覺PSNR在38dB以上的影響）。簡單LSB隱寫LSB平面MSB平面

載體圖像的LSB平面

嵌入的數(shù)據(jù)被修改的LSB

用數(shù)據(jù)替換LSB平面方法簡單，視覺失真小，數(shù)據(jù)容量大。100%像素承載數(shù)據(jù)時，平均改變一半LSB，PSNR=51.1dBLSBMatch隱寫算法LSBMatch：比較待嵌域的LSB與待嵌比特，相同則不做改變，不同則隨機或按照某種指標的指導(dǎo)對待嵌域加1或減1，使得載密域最低位與待嵌比特相等，同時減小對載體統(tǒng)計特性的改變，消除隱寫痕跡。該隱寫算法對隱秘信息的提取方法與LSB方法相同。LSBMatch算法雖然有可能改變載密域的其它位平面，但其改變程度僅為1，因此載體圖像的PSNR仍然很高，隱寫容量與LSB隱寫算法相當(dāng)，且由于其對載體的統(tǒng)計特性改變較小，因此針對LSB的隱寫分析方法基本對LSB匹配隱寫算法沒有顯著的效果。反隱寫技術(shù)隱寫分析反隱寫嵌入率估計(定量隱寫分析)嵌入信息提取密鑰估計主動攻擊隱寫檢測(狹義隱寫分析)可統(tǒng)稱隱寫分析主動隱寫分析終極目標隱寫分析的困難所在視聽覺效果不變隱寫方法變化多端統(tǒng)計特性異常極其微小含密媒體與大量正常媒體共存高分辨率圖像激增可用載體多樣化可使文件屬性不變LSB替換引起統(tǒng)計不對稱性F(

)操作使灰度為2i和2i+1的像素數(shù)目趨于接近不存在下面這些修改方式，記為F(

)

：LSB嵌入對像素灰度的修改如下，記為F(

)：原始圖像的局部直方圖LSB隱寫引起的異常特性利用統(tǒng)計特征異常的c2分析隱蔽數(shù)據(jù)嵌入圖像上半部范圍。用c2分析可估計數(shù)據(jù)量和嵌入位置。嵌入數(shù)據(jù)隨機分布或嵌入量小時分析不可靠。RS分析對像素塊運用F(

)和F(

)兩類翻轉(zhuǎn)，檢查起伏程度變化：正常圖像經(jīng)兩類翻轉(zhuǎn)后起伏程度有同等增加。含密圖像經(jīng)兩類翻轉(zhuǎn)后將呈現(xiàn)不對稱性。能估計嵌入率，但計算量大對不同嵌入率，兩類翻轉(zhuǎn)引起的RS參數(shù)變化。R和S分別表示正常和異常塊所占比例，下標對應(yīng)于兩類翻轉(zhuǎn)。JPEG圖像隱寫分析JPEG圖像是最重要的隱寫載體之一代表性隱寫工具：Jsteg、F5、OutGuess在分析中可利用的主要特征：量化DCT系數(shù)的LSB分塊現(xiàn)象DCT系數(shù)直方圖量化表：量化步長的異常暴露隱蔽信息存在調(diào)色板圖像隱寫分析載體圖像調(diào)色板密寫后的調(diào)色板隱寫的改進：重排調(diào)色板使連續(xù)指數(shù)代表相近顏色修改調(diào)色板排列而圖像本身不變?nèi)鏢-Tool可根據(jù)調(diào)色板的異常排列發(fā)現(xiàn)隱寫修改像素值：是按亮度順序的LSB變種如EzStego相鄰索引值對應(yīng)的顏色差異可能很大調(diào)整為亮度排列可按LSB方法分析任務(wù)三：數(shù)字圖像內(nèi)容真實性認證項目實施72數(shù)字媒體防偽認證數(shù)字媒體數(shù)字內(nèi)容的簽名認證數(shù)字內(nèi)容的水印認證數(shù)字內(nèi)容的被動認證媒體內(nèi)容的完整性、真實性、可信性確認73圖像內(nèi)容認證技術(shù)研究目標多媒體傳播模型如下認證的目標在信宿端獲取信源和信道的相關(guān)信息。信源信息：圖像的來源（什么相機拍攝的、什么掃描儀掃描出的，出自什么打印機）信道信息：是否經(jīng)過篡改，以及什么形式的篡改，篡改區(qū)域在哪里，還經(jīng)過哪些圖像處理的操作。74數(shù)字水印認證技術(shù)75數(shù)字水印認證技術(shù)基于數(shù)字水印認證技術(shù)的基本模型如圖所示:在發(fā)送端，首先產(chǎn)生出水印信息，并把生成的水印信號嵌入到需要保護的原始圖像中得到水印圖像。在傳播過程中，水印圖像可能會受到一些有意或無意的干擾，如人為的惡意攻擊、信道噪聲、圖像壓縮處理等。最后在接收端，檢測者再根據(jù)相應(yīng)的水印檢測算法從接收到的圖像中完全或部分恢復(fù)出水印信號，并據(jù)此對圖像內(nèi)容等進行認證。76三個處理是基于水印方法系統(tǒng)中必不可少的水印的生成:典型地，水印信息W依賴于原始圖像X(或結(jié)合一個密鑰K)。設(shè)g0是水印生成操作，有水印的嵌入把生成的水印信息W嵌入到原始圖像X中，得到水印圖像Y。設(shè)g1是水印嵌入操作，有

Y=gl(X,W)水印的檢測:根據(jù)水印的嵌入算法g1，得到相應(yīng)的水印檢測算法g2。在非盲的情況下，還需借助原始圖像X或原始的水印信息W,77最后，檢測者根據(jù)提取出來的水印信息W'對待測的圖像Y'進行認證。但由于水印圖像在傳輸過程中會受到干擾，在檢測端提取出來的水印信息W'可能會與原始水印信息W產(chǎn)生差異。其差異的大小與水印嵌入算法及所經(jīng)歷的干擾有關(guān)。在水印系統(tǒng)設(shè)計中，我們可以根據(jù)水印信號抗干擾能力將其分為:魯棒水印、脆弱水印及半脆弱水印。它們在圖像的認證中，有著各自的應(yīng)用場合。78數(shù)字水印分類魯棒水印及其應(yīng)用魯棒水印是指水印信號在經(jīng)歷多種無意或有意的信號處理過程后，仍能保持部分完整性并能被準確鑒別?？赡艿男盘柼幚磉^程包括信道噪聲、濾波、A/D與D/A轉(zhuǎn)換、打印掃描、幾何失真以及有損壓縮等。魯棒的水印一般用于儲存媒體的版權(quán)等信息，或者用于身份認證。79脆弱水印及其應(yīng)用與魯棒水印性質(zhì)相反，脆弱水印則要求被保護水印圖像當(dāng)發(fā)生任何形式的改變后，水印信號改變很大。脆弱水印主要應(yīng)用在完整性認證上:如果在圖像中檢測到一個完整的脆弱水印信息，證明該媒體沒有被修改過。脆弱水印可具有篡改定位功能，即把脆弱水印信息嵌入到圖像不同位置上，當(dāng)圖像內(nèi)容發(fā)生改變時，這些水印信息會發(fā)生相應(yīng)改變，從而可以鑒定待測圖像哪些部分被篡改。80半脆弱水印及其應(yīng)用半脆弱水印的抗攻擊能力介于魯棒水印與脆弱水印之間。由于脆弱水印能檢測到十分細微的變化，它不允許水印圖像有絲毫的失真，因此對于一些合理的失真，如圖像的有損壓縮、去噪等，脆弱水印則都認為是篡改。在某些情況下，它不符合認證的要求。而半脆弱水印則容許在合理的失真后，水印信息仍然保持不變。只有當(dāng)發(fā)生惡意的篡改，水印信息才會發(fā)生較大改變。半脆弱水印主要用于內(nèi)容認證方面。81半脆弱水印認證實例特征提取全局特征提取局部特征提取82半脆弱水印認證實例水印嵌入83半脆弱水印認證實例水印認證84半脆弱水印認證實例總體方案85半脆弱水印認證實例86魯棒hash認證技術(shù)87魯棒hash產(chǎn)生的原因傳統(tǒng)的Hash函數(shù)(MDS,SHA1等)不允許圖像任何的失真，它可以實現(xiàn)圖像內(nèi)容的精確認證。而魯棒的Hash算法則允許某些合理的失真，如圖像去噪、有損壓縮、幾何變換等，只要保證圖像的內(nèi)容相似，它們Hash值間的“距離”很接近，而對于內(nèi)容不相同的兩幅圖像，其Hash值間的‘距離”將會變得很大。從抗攻擊的角度上看，傳統(tǒng)Hash與魯棒Hash的思想和脆弱、半脆弱水印技術(shù)有相似之處，關(guān)于數(shù)字水印的知識請參見下節(jié)內(nèi)容。圖像Hash技術(shù)除了用于圖像的完整性與身份認證外，還可以應(yīng)用于基于內(nèi)容的圖像檢索(Content-BasedImageRetrieval)、圖像數(shù)據(jù)查詢以及數(shù)字水印等其它方面。88魯棒hash認證基本原理89魯棒hash基本流程第一步:從圖像中提取特征向量;第二步:量化提取出的特征向量得到二進制hash串;第三步:壓縮二進制hash串得到最終的哈希序列。在特征提取階段，一幅二維的圖像被映射成一維的特征向量，該特征向量必須是從圖像中提取出的感知特征，也就是說對于人類視覺系統(tǒng)來說相同的圖像應(yīng)該有在某種距離度量下相近的特征向量。反之，兩幅截然不同的圖像在該種距離度量下應(yīng)該具有較大的距離。90魯棒hash認證實例多分辨率圖像感知哈希認證方案四叉樹分解91基于四叉樹分解的Hash產(chǎn)生過程92圖像被動認證技術(shù)93被動認證不需要水印或者簽名信息，從原理上看，多媒體數(shù)據(jù)固有特征的提取與檢測是解決問題的關(guān)鍵所在。下面以數(shù)碼相機的內(nèi)部處理為例，簡單解析一下相機內(nèi)部的一些常用處理操作，說明這些操作會給最后輸出圖像帶來哪些影響。94來自自然場景中的光(或反射光)通過透鏡組進入到相機內(nèi)部，隨后彩色光會經(jīng)過一個濾光器被過濾為紅、綠、藍(R,G,B)三種原色的光。相機會利用多個傳感器將得到的光信號轉(zhuǎn)變?yōu)殡娦盘?，這樣就記錄下了來自自然場景中光的基本信息:光的顏色及強度。對于使用單個傳感器的相機，相機還需要經(jīng)過CFA(ColorFilterArray)插值將被過濾掉的某些原色光填補上，才能得到場景的全部彩色信息。由于物體顏色會因投射光線顏色產(chǎn)生變化，人眼能夠自動地修正光線的變化，但相機內(nèi)部的傳感器則不能，所以相機內(nèi)部還需要進行白平衡(whitebalance)操作，使得無論環(huán)境光線如何，讓數(shù)碼相機默認“白色”，就是讓它能認出白色，而平衡其它顏色在有色光線下的色調(diào)。由于受到鏡頭等因素影響，這時得到的圖像往往比較模糊而且?guī)в幸欢ǖ脑肼?，需要進行對比度增強、圖像去噪等處理，最后，為了降低存儲量，圖像在輸出前還需要經(jīng)過壓縮，其中JPEG壓縮是市面上大部分相機都支持的一種有效的壓縮方式。95“廣場鴿”事件2008年4月2日，中國新聞攝影學(xué)會和華賽組委召開記者招待會，取消“廣場鴿”金獎96“廣場鴿”檢測事件背景圖像基本屬性檢測圖像統(tǒng)計分析圖像名稱：廣場鴿.jpg圖像大?。?.60MB圖像格式：JPEG圖像圖像分辨率：2069×2948生成軟件：AdobePhotoshop7.0生成