CN1920877A - 一种基于统计检测和结构检测的隐写分析系统 - Google Patents

Abstract

本发明公开了一种基于统计检测和结构检测的隐写分析系统，该系统的核心检测模块集成了六个统计检测模块和两个结构检测模块，可对以常见的图像音频为载体，如BMP图像、JPEG图像和WAVE音频，使用主流的隐写技术，如空间域的LSB隐写、BPCS隐写和结构隐写，进行隐藏的载密文件进行可靠检测。本发明通过对多个检测模块的检测结果以联合取并的融合机制进行联合判决，对目前主流的隐写方法具有很好的适用性，减少了单个模块适用范围窄、平均检出率低、虚警率高等缺陷，实现了对多种载体类型、多种隐写方式的高质量、高效率检测，同时具有良好的扩展性，便于集成新的检测模块，升级系统的检测性能。

Description

一种基于统计检测和结构检测的隐写分析系统

技术领域

本发明涉及信息隐藏检测领域，具体的说，本发明提出了一种基于统计检测和结构检测的隐写分析系统。常见的隐写技术主要包括空间域LSB隐写、频域隐写、BPCS隐写和结构隐写。本发明是针对空间域LSB隐写、BPCS隐写和结构隐写的检测。

背景技术

自从2002年，以camera shy(半遮面)为代表的流行隐写术软件的发展如雨后春笋，不断更新扩大，其它各类基于信息隐藏技术而设计的类似产品也迅速出现。隐写术和密码学在信息安全领域具有同等重要的地位，隐写术就如同一把双刃剑，如果不及时从正反两个方面去进行深入研究，这项技术的非法使用将危害国家的信息安全。为加强国家和公共安全，尽快研制出针对流行隐写术软件的高效检测工具，是我国在隐蔽通信线路发现和监控方面一项非常有意义的工作，是挑战更是机遇。

充分了解隐写软件的使用情况，才能分析它们存在的弱点，达到快速检测、阻断和发现的目的。目前的隐写软件载体绝大多数是图像和音频，与之相对应的检测算法的研究也应以这两种载体为主。这两种载体的隐藏算法非常相似，例如都采用空域、频域算法等，因此在检测技术上也很类似。

基于图像的隐藏算法主要分为五大类：基于LSB的隐藏算法、基于DCT域隐藏算法、基于调色板的隐藏算法、基于视觉特性的隐藏算法和一些特殊的隐藏算法，图像格式有JPEG、GIF、BMP等。实际应用中，LSB的隐藏方法与DCT域的隐藏方法应用最为广泛。

基于音频的隐藏算法主要分为时域隐藏算法和频域隐藏算法。目前网络上流行的音频格式主要有WAV，MP3，MIDI格式。上面提到的时域隐藏算法和频域隐藏算法都是适用于WAV格式的，而MP3和MIDI由于其文件格式的特殊性，需要采用特殊的隐藏算法。目前网络上广泛使用的音频隐藏算法主要是时域LSB算法。

此外，基于文件格式的结构隐藏也是目前应用较多的隐藏方法，可根据图像或音频的文件格式特征，在文件头中的某些保留字段中或者文件结束之后插入额外的秘密信息。存在于文件格式中的秘密信息不会影响载体文件的正常使用，同时也使基于载体文件统计特征的检测方法无效。

目前，虽然已经有相当多的科研机构和安全公司对隐写术工具进行检测研究，但是结果都不理想。分析其原因有三点：

1)隐写术只有少数重要敏感用户使用。

2)互联网上中的多媒体格式多样化，而现在大多数国际国内所研究的检测算法主要是通用统计攻击，这些算法虽然适用性强但检测准确性却达不到实用。

3)隐写术工具检测研究目前主要停留在分析开源隐写软件或一些教学机构和个人爱好者所发布的软件，然而实际使用这些软件传输秘密信息的用户几乎没有，而对于许多流行隐写软件的分析，由于分析难度太大因而很少有人能提出准确检测办法，但它们恰恰可能是用户频繁使用的秘密通信工具。

发明内容

本发明所要解决的技术问题在于提供一种基于统计检测和结构检测的隐写分析系统，能够对以常见图像音频为载体，使用主流隐写技术进行隐藏的载密文件，实现高质量检测，其正确检出率高，具有广泛的适用性，检测效率高，能适应网络高速传输的需求。

为了实现上述目的，本发明提供了一种基于统计检测和结构检测的隐写分析系统，其系统核心思想是通过集成六个不同的统计检测模块和两个不同的结构检测模块，在检测时使用融合技术，对图像或音频文件进行多个模块的检测，从而判断是否有隐藏信息存在。其具体操作方式有两种：

第一种是针对少量可疑文件的检测，仅显示检测结果，不生成检测结果报告。其具体操作步骤如下：

1)浏览选择一批待检测文件，可选择的待检测文件类型包括BMP图像、JPEG图像和WAVE音频。

2)选择一个或多个统计检测模块，包括RS检测模块、SPA检测模块、DIH检测模块、BPCS检测模块、卡方检测模块和LSM检测模块，并设定阈值，阈值为0～1之间的数字，缺省设置值为0.05。

3)选择一个或多个结构检测模块，包括挂接检测模块和格式检测模块。

4)在界面右侧显示检测结果，即隐秘文件列表，包括检测出的可疑文件名和选定的检测模块估计的隐藏信息量。在扫描状态中显示检测进程状态，包括当前扫描路径、当前扫描文件名、已扫描文件数、检测到的隐写文件数和检测扫描速率等信息。

第二种是针对含有一批可疑文件的文件夹进行扫描，既显示检测结果，也会在指定路径处生成检测结果报告。其具体操作步骤如下：

1)浏览选择扫描路径，即待检测文件所在的文件夹路径，该路径下所有的指定格式文件都将被检测。

2)浏览选择保存路径，即将要生成的扫描检测结果文档的保存路径。

3)选择待检测文件类型，可选择的文件类型包括BMP图像、JPEG图像和WAVE音频。

4)选择采用的统计检测模块，包括RS检测模块、SPA检测模块、DIH检测模块、BPCS检测模块、卡方检测模块和LSM检测模块，并设定阈值，阈值取值范围为(0，1)，缺省设置值为0.05。

5)选择采用的结构检测模块，包括挂接检测模块和格式检测模块。

6)扫描选项设置完毕则开始扫描，对待检测目录中的指定类型文件使用指定检测模块进行扫描，扫描过程中可控制扫描进程的暂停或停止。

7)扫描结束后，在界面右侧显示检测结果，即隐秘文件列表，包括检测出的可疑文件名和选定检测模块估计的隐藏信息量。在扫描状态中显示检测进程状态，包括当前扫描路径、当前扫描文件名、已扫描文件数、检测到的可疑文件数和检测扫描速率等信息。同时生成相应的检测结果报告，包括扫描时间、路径、检测文件类型、扫描检测文件和可疑文件的隐写检测结果等信息。

上述的统计和结构检测模块，其特征在于：上述第一种和第二种操作方式使用相同的检测模块和架构，系统的核心是实现了六个相互独立，具有不同检测原理的统计检测模块和两个具有不同针对性的结构检测模块，从而能够对以常见媒体格式为载体，使用主流隐写工具进行隐藏的文件进行可靠检测。使用多个同类检测模块，依据融合技术能够有效提高检测性能，并能满足多种媒体类型同时处理的网络实时性需求。

核心检测模块具体包括如下模块：RS检测模块、SPA检测模块、DIH检测模块、BPCS检测模块、卡方检测模块和LSM检测模块等六个统计检测模块，以及挂接检测和格式检测两个结构检测模块。

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对空间域LSB隐写的隐写检测模块有五个，第一个RS检测模块具体描述如下：该检测模块的基本思想是构造了一个关于图像的高阶统计量——多个像素之间的灰度差值和，利用LSB替换造成的灰度差值和的变化，分析这种变化与嵌入消息大小之间的关系，并将这个关系建立为一个二次方程，通过计算方程的根来估计嵌入消息的大小。

首先对图像像素进行分组(x₁，x₂，…，x_n)，对于像素组G＝(x₁，x₂，…，x_n)，定义一个鉴别函数f(x₁，x₂，…，x_n)∈R来描述像素组内的相关性：

$f(x_1,x_2,\·\·\·,x_n)=\underset{i=1}{\overset{n-1}{\mathrm{\Σ}}}|x_{i+1}-x_i|$

鉴别函数取值的大小描述了像素间相关性的强弱，鉴别函数取值越大，则说明像素间的相关性越弱，反之相关性越强，而LSB替换会使像素值LSB平面的随机性增大，可见LSB替换会使鉴别函数取值增大。对像素组中的像素值定义三种映射规则：

F₁：01，23，…，254255；

F_-1：-10，12，…，255256；

F₀：00，11，…，255255。

映射规则F₁即对应LSB替换时像素值对的转换，F_-1视为F₁的对偶，F₀视为像素到自身的映射，根据三种映射规则把像素组分为三种类型：

其中F(G)表示将G中的像素在映像关系F下进行映射，同时定义一个n元数组的掩模M(M₁，M₂，…，M_n)，其中M_i∈{0，±1}(0＜i≤n)，进一步定义：

$F\left(G\right)=(F_{M_1}\left(G\right),F_{M_2}\left(G\right),\·\·\·,F_{M_n}\left(G\right))$

分别以R_M、S_M表示掩模M下规则组数与不规则组数所占所有像素组数的比例，一般来说，对像素值进行了映射转换后一般都会使鉴别函数值增大，即有R_M＞＞S_M，从而有R_M+S_M≤1和R_-M+S_-M≤1，RS分析中进行了一个经验假设：

$R_M\≅R_{-M},S_M\≅S_{-M}$

通过实验发现，R_-M和S_-M关于p的曲线可以用直线来拟合，R_M和S_M关于p的曲线可用二次曲线来拟合，对于S_M和R_M有： $S_M\left(\frac{1}{2}\right)=R_M\left(\frac{1}{2}\right).$ 从而可以建立关于p的二次方程：

2(d₁+d₀)z²+(d_-0+d_-1-d₁-3d₀)z+(d₀-d_-0)＝0

其中， $d_0=R_M\left(\frac{p}{2}\right)-S_M\left(\frac{p}{2}\right),d_1=R_M(1-\frac{p}{2})-S_M(1-\frac{p}{2}),d_{-0}=R_{-M}\left(\frac{p}{2}\right)-S_{-M}\left(\frac{p}{2}\right),$ $d_{-1}=R_{-M}(1-\frac{p}{2})-S_{-M}(1-\frac{p}{2}),$ 最后通过求解方程的根得到消息长度p作出估计： $p=\frac{z}{z-0.5}.$

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对空间域LSB隐写的隐写检测模块有五个，第二个SPA检测模块具体描述如下：该检测模块把图像全体像素视为集合P，将P分为互不相交的基本集X、Y和Z：

X＝{(u，v)|(u，v)∈P，u＜v且v为偶数或者u＞v且v为奇数)；

Y＝{(u，v)|(u，v)∈P，u＞v且v为偶数或者u＜v且v为奇数)；

Z＝{(u，V)|(u，V)∈P，u＝v)。

对于基本集Y进一步分为两个子集W和V：

W＝{(u，v)|(u，v)∈P，u＝2k+1，v＝2k或者u＝2k,v＝2k+1)；V＝Y-W。

对于LSB替换对像素值的改动定义为四种修改模式：

1)u、v保持不变，对应模式00；

2)只有u改变，对应模式10；

3)只有v改变，对应模式01：

4)u、v都改变，对应模式11。

根据基本集的定义，可得出基本集的构成形式如下：

对于P中任一子集A，将A中像素值因LSB替换而被修改的概率定义为ρ(π，A)，其中π∈{00，01,10,11}，以p表示嵌入消息比例，由此可计算出像素值被修改的概率：

$\left\{\begin{array}{c}\mathrm{\ρ}(00,P)={(1-p/2)}^2;\\ \mathrm{\ρ}(01,P)=\mathrm{\ρ}(10,P)=p/2(1-p/2)\\ \mathrm{\ρ}(11,P)={(p/2)}^2\end{array}\right.$

根据以上的定义作出两个假设：

1)基本集X与Y的势相同，即|X|＝|Y|；

2)对于任一像素集合A∈{X，V，W，Z)，π∈{00,01,10,11)有ρ(π，A)＝ρ(π，P)。

假设1对于自然图像来说是成立的，因为自然图像的像素值在不同方向上的梯度为正或为负的概率是相同的，假设2即指嵌入的消息随机的散布在整幅图像中，消息的分布与图像灰度的分布是相互独立的。LSB替换将会使像素值在四个基本集之间相互转换，从而使基本集的势产生改变。与RS检测模块类似，该模块依据像素值被改变的概率描述基本集的势在嵌入消息前后的改变，以X＇、V＇、W＇、Z＇表示嵌入消息后的载密图像的基本集，可建立方程：

$\left\{\begin{array}{c}\left|X^{\′}\right|=(1-\frac{p}{2})\left|X\right|+\frac{p}{2}\left|V\right|;\\ \left|V^{\′}\right|=(1-\frac{p}{2})\left|V\right|+\frac{p}{2}\left|X\right|;\\ \left|W^{\′}\right|=(1-p+\frac{p^2}{2})\left|W\right|+p(1-\frac{p}{2})\left|Z\right|.\end{array}\right.$

其中X＇+V＇+W＇+Z＇=P，根据两个基本假设可化简得：0.5γp²+(2|X＇|-|P|)p+|Y＇|-|X＇|＝0，其中γ＝｜W＇|+|Z＇|＝|W|+|Z|，上式中的参数均可由载密图像得到，通过解方程得到的绝对值较小的那个根就是对p的估计。

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对空间域LSB隐写的隐写检测模块有五个，第三个DIH检测模块具体描述如下：该检测模块利用载体图像和载密图像的差分直方图在嵌入消息前后的变化的差异找出隐蔽信息的痕迹，进而对隐蔽信息的大小作出估计。

原始载体图像和载密图像的差分直方图外形轮廓并没有太大的差异，都可以用广义高斯模型很好地拟合，差别在于广义高斯模型中的形状因子有随着嵌入的秘密消息长度增加而增大的趋势。如果对图像的LSB平面进行置零或置反的操作就将发现，载体图像的差分直方图在操作前后将发生明显的变化，其外形轮廓没有很好的保持近似广义高斯曲线的形状，而载密图像的差分直方图却几乎没有任何改变，这样的统计差异成为DIH检测模块的基础。

记被测试图像的差分直方图为h_i，图像LSB平面置零和置反后差分直方图分别为g_i和f_i。分析可知，对h_i，g_i和f_i存在如下关系：h_2i＝f_2i＝a_2i，2ig_2i，h_2i+1＝a_2i，2i+1g_2i+a_2i+2，2i+1g_2i+2，f_2i+1＝a_2i，2i-1g_2i+a_2i+2，2i+3g_2i+2。

结合对称性假设a_0，1≈a_0，-1，可得递推公式：

$\left\{\begin{array}{c}{a}_{\mathrm{0,1}}=\frac{g_0-h_0}{{2g}_0},\\ a_{2i,2i}=\frac{h_{2i}}{g_{2i}},\\ a_{2i,2i-1}=\frac{h_{2i-1}-a_{2i-\mathrm{2,2}i-1}{g}_{2i-2}}{g_{2i}},\\ a_{2i,2i+1}=1-a_{2i,2i}-a_{2i,2i-1}.\end{array}\right.$

构造统计量： ${\mathrm{\α}}_i=\frac{a_{2i+\mathrm{2,2}i+1}}{a_{2i,2i+1}},{\mathrm{\β}}_i=\frac{a_{2i+\mathrm{2,2}i+3}}{a_{2i,2i-1}},{\mathrm{\γ}}_i=\frac{g_{2i}}{g_{2i+2}}$

对于自然图像有a_2i，2i+1g_2i≈a_2i+2，2i+1g_2i+2，随着嵌入消息长度的增加，α_i的值将会减小，当图像的LSB平面100％嵌入消息时，即p＝1时，α_i减小到1，这是分析的基础。统计试验表明，α_i与p之间的变化关系可以用二次多项式来进行拟合，即y＝ax²+bx+c。利用四个关键点P₁＝(0，γ_i)，P₂＝(p，α_i)，P₃＝(1，1)和P₄＝(2-p，β_i)，可得关系式：

$\left\{\begin{array}{c}c={\mathrm{\γ}}_i\\ {\mathrm{ap}}^2+\mathrm{bp}+c={\mathrm{\α}}_i\\ a{(2-p)}^2+b(2-p)+c={\mathrm{\β}}_i\\ a+b+c=1\end{array}\right.$

记d₁＝1-γ_i，d₂＝α_i-γ_i，d₃＝β_i-γ_i，依据上式的约束关系经化简得：2d₁p²+(d₃-4d₁-d₂)p+2d₂＝0。上述方程的两个根中绝对值小的那个就是我们要估计的嵌入比例p。若方程中判别式小于零，此时应判断是否满足α_i≈β_i≈1，如果满足，表明嵌入比例p≈1。

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对空间域LSB隐写的隐写检测模块有五个，第四个LSM检测模块具体描述如下：该检测模块在SPA检测模块的有限状态机的基础上，加入了最小方差估计，提高了检测的精度，分析了SPA检测模块关键假设所带来的误差：ε_m＝|Y_2m+1|-|X_2m+1|，沿用SPA检测模块对像素对集合|C_m|、|D_m|、|Y_2m+1|、|X_2m+1|的定义，即|C_m|：像素对的值右移一位后像素值差值为m的像素对；|D_m|：像素对的差值得绝对值为m的像素对：|X_2m+1|：像素对的值差的绝对值为2m+1，且偶数较大的像素对数；|Y_2m+1|：像素对的值差的绝对值为2m+1，且奇数较大的像素对数。

根据SPA检测模块的推导可得如下两个方程：

$\left(\right|C_m|-|C_{m+1}\left|\right)p^2/4-\left(\right|D_{2m}^{\′}|-|D_{2m+2}^{\′}|+2|Y_{2m+1}^{\′}|-2|X_{2m+1}^{\′}\left|\right)p/2+\left|Y_{2m+1}^{\′}\right|-\left|X_{2m+1}^{\′}\right|={\mathrm{\ϵ}}_m(1-p^2)(m>1);$

$\left(2\right|C_0|-|C_1\left|\right)p^2/4-\left(2\right|D_0^{\′}|-|D_2^{\′}|+2|Y_1^{\′}|-2|X_1^{\′}\left|\right)p/2+\left|Y_1^{\′}\right|-\left|X_1^{\′}\right|={\mathrm{\ϵ}}_m{(1-p)}^2)(m=0).$

每个像素为b比特编码，则m有2^b-1-1个不同的取值，因此可构造不同的2^b-1-1个方程，对于不同的2^b-1-1个方程，利用最小二乘法和极小化的参数估计方法，求出使方程右边的平方和有极小值的p值，以p值作为嵌入率的估计。

令|A_m|＝(|C_m|-|C_m+1|)/4、|B_m|＝-(|D_2m|-|D_2m+2|+2|Y_2m+1|-2|X_2m+1|)/2、|E_m|＝|Y_2m+1|-|X_2m+1|，则以上第一个方程左边化为A_mp²+B_mp+E_m，平方后为 $A_m^2{p}^4+({2A}_m{E}_m+B_m^2)p^2+{2B}_m{E}_{m}p+E_m^2,$ 类似可得所有方程左边的平方和S(p)为： $S\left(p\right)=\underset{m=0}{\overset{j}{\mathrm{\Σ}}}{A}_m^2{p}^4+2\underset{m=0}{\overset{j}{\mathrm{\Σ}}}{A}_m{B}_m{p}^3+\underset{m=0}{\overset{j}{\mathrm{\Σ}}}({2A}_m{E}_m+B_m^2)p^2+2\underset{m=0}{\overset{j}{\mathrm{\Σ}}}{B}_m{E}_{m}p+\underset{m=0}{\overset{j}{\mathrm{\Σ}}}{E}_m^2$ 对S(p)求导得：

$4\underset{m=0}{\overset{5}{\mathrm{\Σ}}}{A}_m^2{p}^3+6\underset{m=0}{\overset{5}{\mathrm{\Σ}}}{A}_m{B}_m{p}^2+2\underset{m=0}{\overset{5}{\mathrm{\Σ}}}(2A_m{E}_m+B_m^2)p+2\underset{m=0}{\overset{5}{\mathrm{\Σ}}}{B}_m{E}_m$

使S′(p)＝0的p值，即使S(p)有极小值的p值就是对嵌入率的估计。但方程S′(p)＝0可能存在三个互异实根，因此需要考虑S″(p)，即可使S″(p)＞0的p值就是最终确定的嵌入率估计。

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对空间域LSB隐写的隐写检测模块有五个，第五个卡方检测模块具体描述如下：基于像素值对(Pair of Values，PoVs)的统计分析方法是出现最早的针对空间域LSB类算法的隐写分析方法，像素值对是在替换像素的LSB时相互转换的两个灰度值，对于8比特的灰度图像来说，像素值对就由以下值对构成01，23，…，254255。在嵌入消息以后构成值对的灰度值数目将趋于一致，利用这一统计特征，定义一个卡方统计量χ_k-1 ²来测试检测图像是否存在这种统计特性，其中

${\mathrm{\χ}}_{k-1}^2=\underset{i=1}{\overset{k}{\mathrm{\Σ}}}\frac{{(n_i-n_i^{\′})}^2}{n_i^{\′}}$

以c_2i表示灰度值为2i的象素数，定义上式中的 $n_i=c_{2i},n_i^{\′}=\frac{c_{2i}+c_{2i+1}}{2},$ $n_i=n_i^{\′}$ 的概率为：

$p=1-\frac{1}{2^{\frac{k-1}{2}}\mathrm{\Γ}\left(\frac{k-1}{2}\right)}\underset{0}{\overset{{\mathrm{\χ}}_{k-1}^2}{\∫}}{e}^{-\frac{x}{2}}{x}^{\frac{k-1}{2}-1}\mathrm{dx}$

通过计算测试图像的p值来判断图像中是否含有秘密消息，同时对图像进行连续的卡方检验，通过观察p的变化可以估计出秘密消息的大小。

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对空间域BPCS隐写的隐写检测模块有一个，具体描述如下：通过对秘密信息的小块的复杂度直方图分析我们得知，秘密信息小块的复杂度主要集中在50～70附近，在低复杂度和高复杂度范围内多为0，而图像的复杂度直方图在这个范围内变化比较平缓，当嵌入秘密信息后必然在直方图引起波动。

利用这一特性对得到的图像数据进行BPCS隐写，然后比较隐写前后的复杂度直方图连续性，当原图像不包含秘密信息时，进行BPCS隐写必然使其连续性发生明显变化，表现在数据上即相临点差的最大值变大，相反，如果原图像包含秘密信息则变化不会太明显。但是这种分析需要一定的数据量，因此对于较大的图像(通常512×512)有比较好的效果。根据这样的特征设计了针对空间域BPCS隐写的检测模块，并取得了良好的检测效果。

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对结构隐藏的隐写检测模块有两个，第一个基于BMP图像的结构检测模块具体描述如下：

该检测模块以基于BMP图像的采用格式或挂接式隐藏的隐写软件为检测对象。BMP图像格式中存在着诸多可用于隐藏信息的冗余位，如文件头中的保留位，信息头中调色板的保留位，在信息头与图像数据之间的偏移数据段，以及图像数据中对每行像素数据长度补足为4的倍数的补足位。

其次，可在图像文件结束之后挂接秘密信息，在这些冗余位中插入秘密信息不会对图像的正常使用产生影响，通过对BMP图像文件格式进行全面分析可发现隐藏于冗余位与图像文件之后的秘密信息，并可将秘密信息以较高的准确率提取出来，对于没有加密功能的软件则可得到隐藏的原始信息。

上述的统计和结构检测模块，其特征在于：八个核心检测模块中，针对结构隐藏的隐写检测模块有两个，第二个基于JPEG图像的结构检测模开具体描述如下：

该检测模块以基于JPEG图像的采用格式或挂接式隐藏的隐写软件为检测对象。JPEG图像格式相对BMP图像更为复杂，主要是数据段定义较为复杂，目前基于JPEG图像结构隐藏的隐写软件主要采用两种方式进行隐藏，一种是将秘密信息作为注释插入到图像格式的注释段中，另一种是挂接式隐藏，通过结合JPEG图像格式中的数据段标识与隐写软件的特征标示符，可对秘密信息的数据段进行定位并行提取。

上述的统计和结构检测模块，其特征在于：对集成的多个检测模块使用融合技术，为提高检测的可靠性，核心检测模块的融合机制采用对检测结果取并的方法，具体描述如下：

在检测设置中如果选择了多个检测模块，每一个检测模块都将产生一个检测结果，通过折衷虚警与漏警带来的干扰，基于融合的判决机制为：如果检测模块对检测对象的检测结果超过了设定的阈值，则判决检测对象为隐秘对象，令该判决结果为“真”，否则令判决结果为“假”。如果选择多个模块进行检测，则当所选模块的检测结果均为“真”时，判决检测对象为隐秘对象，否则判决为非隐秘对象。

上述的统计和结构检测模块包含了五个针对空域LSB隐写的隐写检测模块，一个针对空间域BPCS隐写的隐写检测模块，以及两个针对结构隐写的隐写检测模块。本发明采用联合取并的融合技术，对多种模块的检测结果进行联合判决，从而消除了单个模块适用范围窄，平均检出率低、虚警率高等缺陷，实现了对多种载体类型、多种隐写方式的高质量、高效率检测。

附图说明

图1是本发明的窗口主界面视图。

图2是本发明的文件类型子窗口视图。

图3是本发明的统计检测子窗口视图。

图4是本发明的结构检测子窗口视图。

图5是本发明的总体流程图。

图6是本发明的RS检测模块流程图。

图7是本发明的SPA检测模块流程图。

图8是本发明的DIH检测模块流程图。

图9是本发明的LSM检测模块流程图。

图10是本发明的卡方检测模块流程图。

图11是本发明的BPCS检测模块流程图。

图12是本发明的基于BMP图像结构检测模块流程图。

图13是本发明的基于JPEG图像结构检测模块流程图。

具体实施方式

本发明以八个检测子模块构成核心检测模块，实现了对目前主流的隐写方法生成的载密文件(BMP图像、JPEG图像、WAVE音频等)的可靠检测，其具体实施检测在主界面的“扫描选项”中分为两种检测方式。第一种方式是通过选择“检测文件”对单个或多个文件进行检测。首先，“检测文件”对应选择检测文件的“打开”对话框，在该对话框中可选一个或多个文件进行检测，可选的文件格式有三种：BMP图像、JPEG图像与WAV音频。文件选择完毕将弹出“统计检测”子窗口，在该窗口中选择扫描检测所使用的统计检测模块，共有RS检测模块、SPA检测模块、DIH检测模块、BPCS检测模块、卡方检测模块、LSM检测模块六个检测模块可供选择，同时设定检测判决的门限值(缺省值为0.05)，设定后选择“确定”将弹出“结构检测”子窗口，在该窗口中选择扫描检测所使用的结构检测模块，共有格式检测和挂接检测两个检测模块可供选择，检测模块设定后选择“确定”将对扫描到的每个文件以选定的模块进行检测，在“扫描状态”与“隐秘文件列表”中显示检测结果。

第二种方式是通过选择“扫描路径”对某个文件夹中的所有文件进行扫描检测。首先，选择“扫描路径”在“浏览文件夹”对话框中选择所要扫描的文件夹。其次，在扫描开始前必须进行的设置项有：在“保存路径”中选定扫描日志文件的保存路径；在“文件类型”子窗口中设定扫描检测的文件格式：BMP图像、JPEG图像或WAV音频；在“统计检测”子窗口或“结构检测”子窗口(二者可选择其一，也可同时设定)中选择使用的检测模块，检测模块的选择与第一种检测方式相同。以上选项设置完毕，则可选择“开始扫描”以开始扫描检测进程，扫描开始后可选择“暂停扫描”或“停止扫描”来暂停或终止扫描进程。最后，在“扫描状态”中将实时显示当前扫描的文件夹路径、当前扫描的文件、已扫描的文件数以及已判为载密文件的文件数，在“隐秘文件列表”中实时显示出已判为载密文件的文件列表和各检测模块对各个隐秘文件的检测结果。

本发明通过对多个检测模块的检测结果以联合取并的融合机制进行联合判决，对目前主流的隐写方法具有很好的适用性，减少了单个检测模块虚警率高的影响，实现了对主流数字媒体格式中的主流隐写方法的可靠检测，同时具有良好的扩展性，便于集成新的检测模块，升级系统的检测性能。

Claims (6)

1.一种基于统计检测和结构检测的隐写分析系统，系统的核心模块集成了六种统计检测算法和两种结构检测算法，通过使用融合技术，对图像或音频文件运用多种算法进行检测，判断检测对象是否存在隐蔽信息。其具体操作方式有两种：

第一种，针对指定的文件的检测，显示检测结果，具体操作步骤如下：

1)浏览选择一个或多个待检测文件，可选择的文件类型包括BMP图像、JPEG图像和WAV音频；

2)选择采用的统计检测算法，包括RS检测、SPA检测、DIH检测、BPCS检测、卡方检测和LSM检测，并设定阈值，阈值取值范围为[0，1]，缺省设置值为0.05；

3)选择采用的结构检测算法，包括挂接检测和格式检测；

4)在界面的“隐秘文件列表”一栏实时显示检测结果，即可疑文件列表，包括检测出的可疑文件名和各个选定算法估计出的隐藏信息量。在界面的“扫描状态”栏中显示当前的检测状态，包括当前检测文件的路径、当前检测文件名、已检测文件数、检测到的可疑文件数和检测扫描速率等信息。

第二种，针对指定的文件夹的检测，显示检测结果，并在指定路径中生成检测结果报告，具体操作步骤如下：

1)浏览选择扫描的文件夹路径，选定的路径下所有指定格式的文件都将被检测；

2)浏览选择保存路径，在选定路径下将生成一个以扫描运行时间为文件名的文档文件，该文档即为扫描结果；

3)点击“文件类型”，选择所要检测的文件类型，包括包括BMP图像、JPEG图像和WAV音频；

4)点击“统计检测”，选择采用的统计检测算法，包括RS检测、SPA检测、DIH检测、BPCS检测、卡方检测和LSM检测，并设定阈值，阈值取值范围为[0，1]，缺省设置值为0.05；

5)点击“结构检测”，选择采用的结构检测算法，包括挂接检测和格式检测；

6)点击“开始扫描”，开始对指定路径中的指定类型的文件使用选定的检测算法进行扫描检测，点击“暂停扫描”，“停止扫描”等可对扫描进程进行控制；

7)扫描过程中，在界面的“隐秘文件列表”一栏实时显示检测结果，包括检测出的可疑文件名和各个选定算法估计出的隐藏信息量，在界面的“扫描状态”栏中显示当前的扫描状态，包括当前扫描路径、当前扫描文件名、已扫描文件数、检测到的可疑文件数和检测扫描速率等信息，同时生成相应的检测结果报告，检测结果报告内容包括扫描时间、路径、检测文件类型、扫描检测文件和检测出的可疑文件，以及对可疑文件的检测结果等信息。

2.根据权利要求书1所述的统计和结构检测方法，其特征在于：

上述第一种和第二种操作方式使用相同的内部算法模块和架构，系统的核心检测模块集成了六种相互独立，具有不同检测原理的统计检测算法和两种具有不同针对性的结构检测算法，从而能够对以常见媒体格式为载体，使用主流隐写工具生成的隐写文件进行可靠检测。对多种同类检测算法使用融合技术能够有效提高检测的可靠性，并能满足多种媒体类型同时处理的网络实时性需求。

集成的八种检测算法具体包括：RS检测、SPA检测、DIH检测、BPCS检测、卡方检测和LSM检测等六种统计检测算法，以及挂接检测和格式检测两种结构检测算法。

3.根据权利要求书2所述的统计和结构检测方法，其特征在于：八种核心检测算法中，包含五种针对空间域LSB隐写的隐写检测算法，具体描述如下：

针对空间域LSB隐写的隐写检测方法，针对的检测对象是以BMP图像和WAV音频为载体的基于LSB隐藏算法的隐写软件，采用了目前最具代表性的针对LSB隐藏算法的隐写分析算法，包括卡方检测法、RS算法、SPA算法、DIH算法和LSM算法。

上述算法最早提出是针对BMP图像中的LSB隐藏算法，可对连续嵌入和随机位置嵌入的LSB算法进行可靠检测。经过进一步研究发现，基于WAV音频的LSB隐藏算法具有与BMP图像相类似的统计特性，因此应用上述检测算法对WAV音频中的LSB算法进行检测是可行的，在此基础上，将卡方检测法、RS算法、SPA算法和DIH算法扩展应用到针对WAV音频的LSB隐藏算法的检测中，取得了良好的检测效果。

利用该类的隐写分析软件可对隐藏算法已知为LSB算法的，以BMP图像和WAV音频为载体的隐写软件进行有效的检测，如Blindside v0.9、BMP Secrets、S-Tools v4.0、Puffer 4.02、Eshow等。

4.根据权利要求书2所述的统计和结构检测方法，其特征在于：八种核心检测算法中，包含一种针对空间域BPCS隐写的隐写检测算法，具体描述如下：

BPCS算法是基于BMP图像的可实现大容量隐藏的隐写算法，借鉴了LSB算法中位替换的思想，采用块替换的方法嵌入信息。该算法将图像不同的位平面分割为大小相同的像素块，以复杂度来区分像素块是否可用，以秘密信息构造的数据块去替换可用像素块，这样的替换方式将会对图像的复杂度直方图的分布特征产生影响。正常图像的复杂度直方图分布具有很好的连续性，但秘密信息一般与图像是不相关的，信息的嵌入将会破坏图像的相关性，这将影响复杂度直方图分布的连续性，在直方图中出现明显的峰值，根据这样的特征设计了针对空间域BPCS隐写的隐写检测算法，并取得了良好的检测效果。

5.根据权利要求书2所述的统计和结构检测方法，其特征在于：八种核心检测算法中，包含两种针对结构隐藏的隐写检测算法，具体描述如下：

针对结构隐藏的隐写检测方法的检测对象为BMP图像和JPEG图像。

1)以基于BMP图像的采用格式或挂接式隐藏的隐写软件为检测对象，如AppendX、Camouflage、Steganography、Masker等。BMP图像格式中存在着诸多可用于隐藏信息的冗余位，如文件头中的保留位，信息头中调色板的保留位，在信息头与图像数据之间的偏移数据段，以及图像数据中对每行像素数据长度补足为4的倍数的补足位。其次，可在图像文件结束之后挂接秘密信息，在这些冗余位中插入秘密信息不会对图像的正常使用产生影响，通过对BMP图像文件格式进行全面分析可发现隐藏于冗余位与图像文件之后的秘密信息，并可将秘密信息以较高的准确率提取出来，对于没有加密功能的软件则可得到隐藏的原始信息。

2)以基于JPEG图像的采用格式或挂接式隐藏的隐写软件为检测对象，如JpegX、Camouflage、Invisible Secrets、Masker等。JPEG图像格式相对BMP图像更为复杂，主要是数据段定义较为复杂，目前基于JPEG图像结构隐藏的隐写软件主要采用两种方式进行隐藏，一种是将秘密信息作为注释插入到图像格式的注释段中，另一种是挂接式隐藏，通过结合JPEG图像格式中的数据段标识与隐写软件的特征标示符，可对秘密信息的数据段进行定位并行提取。

6.根据权利要求书2所述的统计和结构检测方法，其特征在于：对集成的多个检测算法使用融合技术，为提高检测的可靠性，核心检测模块的融合机制采用对检测结果取并的方法，具体描述如下：

在检测设置中如果选择了多个检测算法，每一个检测算法都将产生一个检测结果，通过折衷虚警与漏警带来的干扰，基于融合的判决机制为：如果检测算法对检测对象的检测结果超过了设定的阈值，则判决检测对象为隐秘对象，令该判决结果为“真”，否则令判决结果为“假”。如果选择多个算法进行检测，则当所选算法的检测结果均为“真”时，判决检测对象为隐秘对象，否则判决为非隐秘对象。

Images