Добавил:
Upload Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз: Предмет: Файл:

Yazov_ITKS

.pdf
Скачиваний:
348
Добавлен:
31.05.2015
Размер:
7.37 Mб
Скачать

В первую очередь к ним относятся способ двойных пиков, способ выявления статистических изменений яркости соседних пикселей, способ сравнения гистограмма JPEG-коэффициентов и др.

Способ двойных пиков (гистограммы изображения)

является одним из самых первых опубликованных способов стегоанализа и позволяет выявлять изменения в изображениях, модифицированных с помощью прямых стеганографических способов с фиксированным уровнем изменения контейнера [71]. К таким способам относятся большинство НЗБ-методов, где модифицированное значение компоненты цвета пикселя (или яркости пикселя) может быть изменено на фиксированную величину d .

Для НЗБ-методов d традиционно равно 1. Для других методов d может меняться от изображения к изображению, но для каждого фиксированного изображения остаётся неизменным.

Если рассматривать чёрно-белые изображения, то для таких изображений стеганографический метод с фиксированным уровнем изменения контейнера увеличивает или уменьшает значение яркости пикселей. При анализе гистограммы яркости пикселей таких изображений было отмечено, что при использовании для встраивания информации большого количества пикселей изображения пики рассматриваемых гистограмм раздваиваются. Это объясняется следующим образом. В табл. 5.16 изображены значения части гистограммы некоторого гипотетического изображения.

Таблица 5.16 Пример гистограммы блока изображения

10

11

12

13

14

0

0

1000

0

0

541

Вверхней строке таблицы представлены пять близких значений яркости пикселей, а в нижней – количество пикселей с такими же значениями яркости в изображении.

Вданном случае присутствует ярко выраженный пик, соответствующий значению яркости, равному 12. Если при встраивании информации в данное изображение было модифицировано порядка 98% пикселей изображения, при фиксированной величине изменения d = 1, то соответствующая часть гистограммы модифицированного

изображения

будет

выглядеть

следующим

образом

(табл. 5.17).

 

 

Таблица 5.17

 

 

 

 

Гистограмма модифицированного изображения

10

 

11

12

13

 

14

0

 

485

18

497

 

0

Из табл. 5.17 следует, что примерно половина значений яркости пикселей была уменьшена на 1, а другая половина – увеличена на 1. Неравное разделение значений яркости обусловливается тем, что процесс встраивания обычно рандомизирован2, при этом модифицируются случайно выбранные пиксели всего изображения. В результате встраивания исходный пик гистограммы был разделён на 2, отстоящих друг от друга на расстояние, равное 2d. Данные рассуждения также подтверждаются практическими наблюдениями за гистограммами цветных изображений, в которых были модифицированы значения цветовых компонент (рис. 5.29).

2Рандомизация (англ. random -выбранный наугад, случайный)- процедура отбора признаков для исследования (или получения сопоставимых групп в эксперименте), когда каждый признак из некоторой совокупности и каждая комбинация признаков заданного размера имеет равные с другими шансы на попадание в выборку

542

Рис. 5.29. Гистограммы цветных изображений

543

На данном рисунке показаны гистограммы значений цветовых компонент двух изображений - до и после встраивания информации. Нижняя пара гистограмм демонстрирует характерные раздвоения пиков (на гистограмме справа) после встраивания информации.

Данный способ стегоанализ позволяет эффективно выявлять встроенную информации лишь для изображений с ярко выраженными узкими пиками исходной гистограммы, а также при модификации значительной части пикселей изображения.

Способ выявления статистических изменений яркости соседних пикселей основан на наблюдении статистических изменений в группах из нескольких соседних пикселей изображения. При этом было отмечено, что если чётное число представлено в двоичном формате, то последний бит такого представления равен 0, если же этот бит заменить на 1, то число увеличивается на единицу и превращается в нечётное. Если же последний бит двоичного представления числа равен 1, то оно нечётно, и при замене 1 на 0 становится чётным.

Таким образом, при встраивании информации в последние биты значений компонентов цветов пикселей чётные значения компонент могут только увеличиться, а нечётные, наоборот, только уменьшиться [72].

Способ сравнения JPEG-коэффициентов основаны на предположении, что с помощью переконвертации изображения со стеганографической вставкой из формата JPEG в формат без сжатия (типа BMP), а затем новой конвертации изображения в формат JPEG, но с использованием нового разбиения изображения на блоки, можно получить аппроксимацию исходного контейнера. Сравнивая статистические свойства изображения до и после такого преобразования можно получить информацию об измене-

544

нии JPEG-коэффициентов исходного изображения, а также оценить величину таких изменений. Известно два способа, применяемые на практике, получившие наименование F5 и Outguess [73].

Способ выявления встроенной с помощью алгоритма F5 информации основан на анализе гистограммы JPEGкоэффициентов изображения. При встраивании информации модифицируются ненулевые JPEG-коэффициенты, при этом абсолютное значение (модуль) коэффициентов может только уменьшиться на единицу. Если результатом встраивания бита информационной последовательности в некоторый JPEG-коэффициент является его обнуление, то встраивание бита происходит в следующий ненулевой коэффициент, выбранный с помощью алгоритма рандомизации. В результате гистограмма JPEG-коэффициентов изображения изменяется таким образом, что увеличивается количество нулевых коэффициентов, а количество остальных коэффициентов уменьшается.

Для получения оценки значений JPEGкоэффициентов в [73] предложен следующий способ. Изображение из формата JPEG конвертировалось в простое представление (типа BMP), в изображении удалялись первые 4 столбца пикселей, затем оно конвертировалось обратно в формат JPEG. Гистограмма преобразованного таким образом изображения использовалась как оценка гистограммы исходного изображения (рис. 5.30).

545

Рис. 5.30. Различия в гистограммах исходного изображения, изображения со стеговставкой и оценочной гистограммы

Из приведенного рисунка видно, насколько гистограмма изображение со стеговставкой отличается от оценочной гистограммы, которая практически совпадает с гистограммой исходного изображения. Эффективность такого рода оценки гистограммы исходного изображения объясняется тем, что при удалении 4-х первых столбцов изображения происходит переразбиение изображения на новые блоки пикселей. При этом незначительные изменения, внесённые в исходные значения JPEG-коэффициентов при встраивании информации, перераспределяются между новыми блоками пикселей и в своём большинстве нивелируются в процессе квантования.

Способ OutGuess, в отличие от способа F5, компенсирует изменения гистограммы изображения в процессе встраивания дополнительных битовых последовательностей, модифицируя при этом только последние биты JPEG-

546

коэффициентов изображения, неравных 0 и 1.В данном случае использован тот факт, что при повторном встраивании сообщения максимально возможной длины в изображение с помощью способа OutGuess величина неоднородности на границе блоков будет меньше, чем при встраивании того же сообщения в изображение без стеговставки.

Наконец, следует отметить, что указанные на рис. 5.25 методы противодействия несанкционированной передаче реализуются преимущественно путем вызова DLP-системой команд операционной системы с целью исключение возможности использования контейнера со скрытой информации или уничтожение самой скрытой информации в контейнере (путем его зашумления или различных преобразований).

В настоящее время DLP-системы, реализующие описанные методы защиты информации от несанкционированной передачи во внешние сети, активно развиваются и уже в ближайшее время появятся программные продукты, в которых будут применяться описанные способы защиты информации от утечки по скрытым каналам.

5.7. Частные виртуальные сети и их применение

Безопасность информационного взаимодействия локальных сетей и отдельных компьютеров через открытые сети типа Internet требуют качественного решения не только задачи защиты локальных сетей и отдельных компьютеров со стороны внешней среды, но и задачи защиты информации в процессе передачи по открытым каналам связи. Для решения второй из указанных задач, наряду с описанными ранее мерами и средствами защиты, сегодня активно применяются частные виртуальные сети.

547

Частная виртуальная сеть (VirtualPrivateNetwork - VPN) – это объединение локальных сетей и отдельных компьютеров через открытую внешнюю среду передачи информации в единую виртуальную сеть, обеспечивающую безопасность циркулирующих данных (иногда ее называют защищенной виртуальной сетью). В качестве внешней среды используется сеть общего пользования (сегодня чаще всего Internet).

Защита информации в VPN в процессе ее передачи основана на построении защищенных виртуальных каналов связи, называемых туннелями VPN. При использовании криптографии для защиты информации, передаваемой по туннелям VPN, такие туннели чаще называют криптозащищенными туннелями. Для защиты от повтора, удаления и задержек пакетов сообщений используются встроенные возможности стека протоколов TCP/IP. Для защиты от отказа получения сообщений предусматривается также цифровая подпись.

Любой из двух узлов виртуальной сети, между которыми формируется защищенный туннель, может принадлежать конечной или промежуточной точке защищаемого потока сообщений. Соответственно, возможны различные способы образования защищенного виртуального канала:

1)точки защищенного туннеля совпадают с конечными точками защищаемого потока сообщений – наилучший с точки зрения безопасности информации вариант. Однако он связан с децентрализацией управления и избыточности ресурсных затрат. Требуется устанавливать средства создания защищенных туннелей на каждый клиентский компьютер локальной сети, а в большой сети это приводит к весьма трудоемкой процедуре конфигурирования средств защиты для всех компьютеров;

2)в качестве конечной точки защищенного туннеля

548

выбирается межсетевой экран или пограничный маршрутизатор этой локальной сети. В этом случае должна отсутствовать необходимость защиты трафика внутри локальной сети;

3) в качестве конечных точек защищенного туннеля выступают провайдеры сети Internet, то есть туннели прокладываются только внутри публичной сети с коммутацией пакетов (это удобно, хотя каналы менее защищены; аргументация состоит в том, что уязвимыми для злоумышленников в большей степени являются сети с коммутацией пакетов, а не каналы телефонной сети или выделенные каналы связи).

Создание защищенного туннеля выполняют компоненты виртуальной сети, функционирующие на узлах, между которыми формируется туннель. Эти компоненты принято называть инициатором и терминатором туннеля. Инициатор туннеля инкапсулирует (встраивает, прячет) пакеты в новый пакет, содержащие наряду с исходными данными новый заголовок с информацией об отправителе и получателе. Хотя все передаваемые по туннелю пакеты являются пакетами IP, инкапсулируемые пакеты могут принадлежать любому протоколу, например немаршрутизируемому протоколу NetBEUI. Терминатор выполняет процедуру, обратную инкапсуляции. Сама по себе инкапсуляция не влияет на защищенность пакетов, передаваемых по туннелю VPN. Но благодаря ей, появляется возможность полной криптографической защиты инкапсулируемых пакетов. Целостность и подлинность пакетов обеспечивается формированием цифровой подписи.

С учетом изложенного классификация VPN приведена на рис. 5.31.

Данная классификация в части архитектуры технического решения (предложена компанией Check Point Software

549

Technologies, которая не без основания считается законодателем вобласти VPN) требует некоторых пояснений.

Вварианте «Client/Server VPN» обеспечивается защита передаваемых данных между двумя узлами (не сетями) корпоративной сети. Особенность данного варианта в том, что VPN строится между узлами, находящимися, как правило, в одном сегменте сети, например, между рабочей станцией и сервером (рис. 5.32).

Такая необходимость очень часто возникает в тех случаях, когда в одной физической сети необходимо создать несколько логических сетей.

Вварианте «Intranet VPN» (рис. 5.33) в сеть объединяются несколько распределенных филиалов одной организации, взаимодействующих по открытым каналам связи. Именно этот вариант получил широкое распространение во всем мире, и именно его в первую очередь реализуют компании-разработчики.

Вариант «Remote Access VPN» (рис. 5.34) позволяет реализовать защищенное взаимодействие между сегментом корпоративной сети (центральным офисом или филиалом) и одиночным пользователем, который подключается к корпоративным ресурсам из дома (домашний пользователь) или через notebook (мобильный пользователь). Данный вариант отличается от первого тем, что удаленный пользователь, как правило, не имеет статического адреса, и он подключается к защищаемому ресурсу не через выделенное устройство VPN,

асо своего собственного компьютера, на котором и устанавливается программное обеспечение, реализующее функции VPN. Компонент VPN для удаленного пользователя может быть выполнен как в программном, так и в программноаппаратном виде. В первом случае программное обеспечение может быть как встроенным в операционную систему, так и разработанным специально.

550

Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]