1. Криптография против стеганографии: сокрытие «содержания» или сокрытие «существования»?
В сфере информационной безопасности криптография и стеганография решают две ортогональные задачи. Криптография преобразует открытый текст \(M\) с помощью секретного ключа \(K\) в нечитаемый шифротекст \(C = E_K(M)\). Когда перехватчик получает \(C\), он не может прочесть семантическое содержание сообщения, однако сам факт того, что стороны ведут секретную зашифрованную переписку, остается полностью очевидным. В условиях жесткой цензуры или тотального сетевого мониторинга одна лишь передача высокоэнтропийного трафика (например, блоков PGP или нестандартных TLS-потоков) немедленно вызывает подозрение, блокировку канала или преследование.
Напротив, стеганография (от древнегреческого steganos — «скрытый, покрытый» и graphein — «писать») ставит своей целью полностью скрыть сам факт существования тайной коммуникации. От описанных Геродотом хитростей Древней Греции (татуировка на обритой голове раба или надпись на деревянной основе под слоем воска) и трактата Иоганна Тритемия Steganographia (1499) до современных алгоритмов встраивания данных в безобидные фотографии, аудиозаписи или сетевые пакеты — стеганография внедряет секретное сообщение \(M\) внутрь ничем не примечательного контейнера-оригинала (Cover Object) \(X\), формируя стего-объект (Stego Object) \(Y\).
flowchart TD
A["Секретное сообщение M и стего-ключ K"] --> B["Криптографическое сжатие и помехоустойчивое кодирование"]
C["Естественный контейнер X (Изображение / Аудио / Видео)"] --> D["Алгоритм встраивания Emb(X, M, K): LSB / DCT / STC"]
B --> D
D --> E["Стего-контейнер Y (Stego Object)"]
E --> F["Контролируемый канал (Надзиратель Уэнди проводит стат-тесты)"]
F --> G["Алгоритм извлечения Ext(Y, K) восстанавливает сообщение M"]
В 1983 году Густавус Симмонс (Gustavus J. Simmons) сформулировал знаменитую «Задачу о заключенных (The Prisoners’ Problem)», ставшую классической моделью современной стеганографии: заключенные Алиса и Боб хотят согласовать план побега из тюрьмы, но вся их переписка проходит через надзирателя Уэнди (Warden). Если Уэнди заметит шифротекст или статистические аномалии в письмах или фотографиях, она немедленно пресечет связь и отправит обоих в карцер. Следовательно, Алиса должна спрятать секретные биты в обычном изображении \(Y\) так, чтобы Уэнди не смогла статистически отличить распределение естественных контейнеров \(P_X\) от распределения стего-контейнеров \(P_Y\).
В 1998 году Кристиан Кэшин (Christian Cachin) дал строгое математическое определение стеганографической стойкости через дивергенцию Кульбака — Лейблера (KL-дивергенцию / относительную энтропию). Пусть \(P_X\) — вероятностное распределение пустых контейнеров на множестве \(\mathcal{X}\), а \(P_Y\) — распределение стего-объектов. Стегосистема называется \(\varepsilon\)-стойкой (и совершенно стойкой при \(\varepsilon = 0\)), если:
\[D_{\text{KL}}(P_X \,\|\, P_Y) = \sum_{x \in \mathcal{X}} P_X(x) \log_2 \frac{P_X(x)}{P_Y(x)} \le \varepsilon\]Согласно неравенству обработки данных (Data-Processing Inequality) теории информации, какой бы сложный статистический критерий или глубокую нейросеть ни применяла надзиратель Уэнди, вероятность ложной тревоги \(\alpha\) (ошибка I рода) и вероятность пропуска цели \(\beta\) (ошибка II рода) жестко ограничены бинарной относительной энтропией:
\[d(1-\alpha, \beta) = (1-\alpha)\log_2 \frac{1-\alpha}{\beta} + \alpha \log_2 \frac{\alpha}{1-\beta} \le D_{\text{KL}}(P_X \,\|\, P_Y) \le \varepsilon\]При \(\varepsilon \to 0\) неизбежно \(\alpha + \beta \to 1\), то есть любой детектор Уэнди работает не лучше случайного подбрасывания монеты.
| Критерий сравнения | Криптография (Cryptography) | Стеганография (Steganography) | Цифровые водяные знаки (Watermarking) |
|---|---|---|---|
| Главная цель | Сокрытие содержания (семантики) | Сокрытие самого факта коммуникации | Защита авторских прав и целостности |
| Видимость секрета | Открытая (высокоэнтропийный шифротекст виден) | Строго скрытая (маскировка под обычный файл) | Видимая или невидимая (приоритет — неудаляемость) |
| Модель противника | Криптоанализ (дешифрование без ключа) | Стегоанализ: статистическое обнаружение \(P_X \ne P_Y\) | Атаки удаления: сжатие, кадрирование, зашумление |
| Ключевая метрика | Вычислительная неотличимость (IND-CPA) | Статистическая незаметность (\(D_{\text{KL}} \to 0\)) и емкость | Робастность (Robustness) к искажениям сигнала |
2. Пространственная область: замена младшего значащего бита (LSB) и атака \(\chi^2\)
В несжатых изображениях или форматах без потерь (24-битный BMP, PNG или 16-битный звук WAV PCM) простейшим методом встраивания является замена младшего значащего бита (Least Significant Bit Replacement, LSB Replacement). В 8-битном полутоновом изображении яркость каждого пикселя \(x_i \in \{0, 1, \dots, 255\}\) записывается в двоичном виде как:
\[x_i = \sum_{b=0}^{7} a_{i,b} \, 2^b = 128 a_{i,7} + 64 a_{i,6} + \dots + 2 a_{i,1} + a_{i,0}\]Если старший бит (MSB, \(a_{i,7}\)) меняет яркость на \(128\), то младший бит (LSB, \(a_{i,0} = x_i \bmod 2\)) изменяет значение всего на \(\pm 1\). Заменяя LSB каждого пикселя зашифрованным (равномерно распределенным) секретным битом \(m_i \in \{0, 1\}\):
\[y_i = 2 \left\lfloor \frac{x_i}{2} \right\rfloor + m_i\]при полной загрузке (\(1\,\text{бит на пиксель, bpp}\)) половина пикселей не меняется вовсе, а вторая половина изменяется на \(\pm 1\). Среднеквадратичная ошибка (MSE) и пиковое отношение сигнал/шум (PSNR) составляют:
\[\text{MSE} = \frac{1}{N}\sum_{i=1}^{N} (x_i - y_i)^2 = 0.5, \qquad \text{PSNR} = 10 \log_{10}\!\left(\frac{255^2}{\text{MSE}}\right) \approx 51.14\,\text{dB}\]Человеческий глаз (HVS) не способен заметить искажения при \(\text{PSNR} > 40\,\text{dB}\). Но невидимость для глаза отнюдь не означает статистическую неуязвимость!
В 1999 году Андреас Вестфельд и Андреас Пфицман предложили сокрушительную атаку хи-квадрат (\(\chi^2\) Steganalysis Attack). Её математическая суть кроется в асимметрии операции LSB-замены: четное значение яркости \(2k\) при замене младшего бита может перейти только в \(2k\) или \(2k+1\), и нечетное значение \(2k+1\) также может перейти только в \(2k\) или \(2k+1\); переходов между \(2k-1\) и \(2k\) никогда не происходит! Таким образом, пары \(\{2k, 2k+1\}\) образуют 128 замкнутых «пар значений (Pairs of Values, PoVs)». Поскольку биты шифротекста равновероятны (\(P(0)=P(1)=0.5\)), частоты гистограммы \(h_Y(2k)\) и \(h_Y(2k+1)\) после встраивания принудительно выравниваются до их полусуммы:
\[\mathbb{E}[h_Y(2k)] = \mathbb{E}[h_Y(2k+1)] = \frac{h_X(2k) + h_X(2k+1)}{2} = \bar{h}_k\]Вычисляя статистику Пирсона \(\chi^2\) по всем 128 парам:
\[\chi^2 = \sum_{k=0}^{127} \frac{\bigl(h_Y(2k) - \bar{h}_k\bigr)^2}{\bar{h}_k}\]мы мгновенно обнаруживаем LSB-замену: у естественной фотографии \(\chi^2\) велико (\(p \approx 0\)), тогда как у стего-изображения гистограмма превращается в характерные попарные «ступеньки» (\(\chi^2 \to 0, \; p \to 1\)). Более того, RS-стегоанализ (Regular-Singular) Джессики Фридрих обнаруживает LSB-встраивание плотностью от \(0.02\,\text{bpp}\) за счет анализа пространственных корреляций соседних пикселей. Чтобы разрушить замкнутые пары PoVs, метод LSB Matching (\(\pm 1\) Embedding) случайно прибавляет или вычитает \(1\) при \(m_i \ne \text{LSB}(x_i)\).
3. Частотная область и матричное кодирование: JPEG 2D-DCT, алгоритм F5 и коды STC
При передаче через современные мессенджеры и соцсети пространственная LSB-стеганография мгновенно разрушается из-за сжатия с потерями (Lossy Compression) в формат JPEG. Поэтому практическая стеганография работает непосредственно в частотной (трансформационной) области.
Стандарт JPEG разбивает изображение (в пространстве \(\text{YCbCr}\)) на блоки \(8 \times 8\) пикселей \(f(x,y)\), применяет двумерное дискретное косинусное преобразование (2D-DCT) и квантует полученные 64 коэффициента \(F(u,v)\) делением на матрицу квантования \(Q(u,v)\) с округлением до целых чисел \(F_Q(u,v)\):
\[F(u,v) = \frac{1}{4} C(u) C(v) \sum_{x=0}^{7} \sum_{y=0}^{7} f(x,y) \cos\!\left(\frac{(2x+1)u\pi}{16}\right) \cos\!\left(\frac{(2y+1)v\pi}{16}\right), \qquad F_Q(u,v) = \text{round}\!\left(\frac{F(u,v)}{Q(u,v)}\right)\]
flowchart TD
A["Пространственный блок 8x8 f(x,y)"] --> B["Двумерное дискретное косинусное преобразование (2D-DCT) F(u,v)"]
B --> C["Квантование в целые числа F_Q(u,v) = round(F/Q)"]
C --> D["Встраивание в частотной области: Матричное кодирование F5 / STC"]
D --> E["Энтропийное кодирование Хаффмана в файл Stego-JPEG"]
В 2001 году Андреас Вестфельд совершил переворот в JPEG-стеганографии, создав алгоритм F5, основанный на двух принципах:
- Уменьшение абсолютной величины: вместо замены LSB коэффициентов DCT (как в уязвимом JSteg), F5 всегда уменьшает модуль изменяемого ненулевого коэффициента на 1 по направлению к нулю, сохраняя естественную симметричную лапласовскую форму гистограммы DCT.
- Матричное кодирование (Matrix Encoding на основе кодов Хэмминга): чтобы встроить \(k\) секретных бит \(\mathbf{m} \in \{0,1\}^k\) в \(n = 2^k - 1\) ненулевых коэффициентов \(\mathbf{x} \in \{0,1\}^n\), используется проверочная матрица \(\mathbf{H} \in \{0,1\}^{k \times (2^k-1)}\) двоичного кода Хэмминга. Синдром \(\mathbf{s} = \mathbf{m} \oplus \mathbf{H}\mathbf{x}\) прямо указывает номер единственного коэффициента \(x_j\), который нужно изменить для выполнения равенства \(\mathbf{H}\mathbf{y} = \mathbf{m}\)! Благодаря этому эффективность встраивания (Embedding Efficiency) возрастает до:
Современные адаптивные алгоритмы (WOW, S-UNIWARD, J-UNIWARD, HILL) объединяют локальные функции искажения \(\rho_i\) с синдромно-решетчатыми кодами (Syndrome-Trellis Codes, STC, Filler et al. 2011): алгоритм Витерби прячет все изменения исключительно в сложных текстурированных участках (листва, рябь воды), где нейросетевые стегоанализаторы (SRNet) не могут точно предсказать значения соседних пикселей.
4. Закон квадратного корня для стеганографической емкости и цифровые водяные знаки
Растет ли безопасный объем скрываемых данных \(m\) линейно с ростом числа пикселей \(n\) (\(m = O(n)\))? В 2008 году Томаш Филлер, Эндрю Кер и Джессика Фридрих доказали фундаментальный Закон квадратного корня для стеганографической емкости (Square Root Law): при доле измененных пикселей \(\beta = m / n\) и информации Фишера \(I_F > 0\) разложение Тейлора второго порядка для суммарной KL-дивергенции по \(n\) независимым пикселям дает:
\[D_{\text{KL}}\!\left(P_X^{(n)} \,\big\|\, P_Y^{(n)}\right) = \frac{1}{2} n \beta^2 I_F + O(n\beta^3) = \frac{I_F}{2} \frac{m^2}{n} + O\!\left(\frac{m^3}{n^2}\right)\]Чтобы суммарная дивергенция \(D_{\text{KL}}^{(n)} \le \varepsilon\) оставалась ограниченной константой, безопасная нагрузка \(m_{\text{safe}}(n)\) может расти лишь пропорционально квадратному корню из числа пикселей \(\sqrt{n}\):
\[m_{\text{safe}}(n) = O\!\left(\sqrt{n}\right)\]Наконец, в «Магическом треугольнике сокрытия информации» (Емкость, Незаметность, Робастность) цифровые водяные знаки (Digital Watermarking) занимают противоположный полюс по отношению к стеганографии: широкополосные схемы Ингмара Кокса (Spread-Spectrum Watermarking), квантование индекса модуляции (QIM), созвездие Евриона на банкнотах и система SynthID от Google DeepMind для маркировки ИИ-изображений и текстов жертвуют информационной емкостью (оставляя лишь десятки бит) ради экстремальной живучести (робастности) при сжатии, кадрировании и фильтрации.