第5章网络隐蔽通信检测技术概述

5.1网络隐蔽通信检测技术研究意义

近年来，随着带宽的持续增长以及网络融合趋势的增强，在国际互联网上网络流媒体(streaming media)应用得到了空前的发展。流媒体是指在网络上采用流式传输方式传输的一种多媒体信息。目前，流媒体有着广泛的应用，例如： VOD(video on demand）、AOD(audio on demand)、IPTV（internet protocol television)、VoIP(voice over IP）等。流媒体作为一种动态媒体，具有实时性和时变性，与基于静态媒体（如图像、音频）的信息隐藏方法相比，基于流媒体的信息隐藏更难于检测，而且由于流媒体的传输时间可控，理论上具有无限大的信息隐藏容量。鉴于上述优点，最近几年，基于流媒体的信息隐藏技术，这项具有创新性和挑战性的研究问题引起了全球研究者们的关注。在2006年的第六届全国信息隐藏暨多媒体安全学术研讨会上，中国工程院李德毅院士在主题报告中就曾高屋建瓴地指出： “基于流媒体和网络信道的信息隐藏将是网络信息安全领域中一个新的研究点和发展方向”。在2009年的第八届全国信息隐藏暨多媒体安全学术研讨会上，何德全院士进一步指出： “网络流媒体的信息隐藏在未来几年将掀起信息安全技术研究高潮”。国际刊物上基于流媒体进行信息隐藏的相关报道也在快速增长。

语音流媒体（VoIP）是当前互联网中一个非常流行的流媒体通信服务，在全球范围内得到广泛应用，彻底变革了语音通信市场格局，它所产生的网络流量在持续增长。美国互联网流量监测机构TeleGeography的数据显示，近年来基于语音流媒体技术的国际通话流量增长速度已经超过传统电话网络流量，目前基于VoIP的用户语音通话时长已达千亿分钟量级，如图51所示。这使语音流媒体非常适合用于在IP网络中进行隐蔽通信，它所产生的数据流量为流媒体信息隐藏提供了良好的载体。鉴于此，近年来已有不少研究人员开始尝试基于语音流媒体，使用信息隐藏技术构建互联网上的隐蔽通信系统。流媒体信息隐藏技术的研究可谓方兴未艾。

虽然，目前基于流媒体信息隐藏技术的隐蔽通信系统尚未达到可以大规模应用的阶段，但可以预期随着更多研究力量被吸引到这一领域，该项技术很快就能达到工业化应用水平。未雨绸缪，从保障国家信息安全的角度出发，尽早研究开发流媒体信息隐藏检测技术非常必要。这是因为，流媒体信息隐藏技术可以提供一种易于使用且伪装良好、难于察觉和检测的隐蔽通信信道： 基于流媒体进行隐蔽通信，从表面上看使用者是在进行正常的语音通信，但实际上是在通过隐蔽信道传递着秘密消息； 更令人忧虑的是，通过在现有的语音流媒体软件［51］（如Skype和gtalk）上添加信息隐藏模块，可以非常容易就让这些用户规模庞大的软件具有隐蔽通信功能。一旦出现这种局面，将意味着人们可以随意建立秘密通信渠道，犯罪分子和敌对势力的谍报人员将很容易利用互联网在整个世界范围内进行秘密信息的传递以进行其违法犯罪甚至颠覆国家等活动。如果缺乏有效的流媒体信息隐藏检测技术，这些活动将很难被国家安全部门所发觉和监管，从而使其犯罪活动得逞，给国家和人民造成损失。

因此，研究流媒体信息隐藏检测技术首先具有较大的社会效益。其次，从信息隐藏科学本身的发展出发，研究流媒体隐写分析技术，有利于发现现有隐写方法的不足，从而促使研究者对其改进，使其更好更快地发展。

流媒体（streaming media）实际上是利用网络协议持续传输的连续音视频媒体流。典型的流媒体可以用图52表示。

基于流媒体的信息隐藏在理论模型上与静态媒体中信息隐藏上是一致的。但是，由于流媒体的瞬时性和实时性，传统的静态（存储型）载体中的信息隐藏技术并不能直接应用于流媒体的信息隐藏，例如基于变换域和扩频的隐藏技术由于算法较为复杂，耗时较大，就不适合用于在具有实时性要求的流媒体数据中进行信息隐藏。另一方面，流媒体中的信息隐藏具有多维度隐藏特性，与图像信息隐藏仅通过改变像素值、音频信息隐藏仅通过改变语音采样值进行信息隐藏不同，流媒体信息隐藏既可通过改变语音、视频信号进行，也可利用语音、视频传输所依赖的网络协议、通信信令等进行，图52中的每个流媒体单元中四个层次的数据域： 音视频数据（一般经过编码压缩）、IP报头、UDP报头、RTP报头都可以作为信息隐藏的宿主，这导致流媒体中的信息隐藏具有多模式特性。

基于流媒体信息隐藏的隐蔽通信系统，将秘密信息嵌入到流媒体通信过程产生的流媒体报文之中，并通过公开网络传输到接收端，接收端从流媒体报文中（含报文内容、报文时序等维度）提取秘密信息。基于流媒体的隐蔽通信系统的一般模型可抽象如图53所示。与传统的基于静态载体的信息隐藏方法相比，基于动态流媒体的信息隐藏方法具有以下优势： 

（1） 多维信息隐藏特性： 如图53所示，秘密信息可以在对语音进行编码时嵌入，也可以

在编码后语音进行传输时通过修改网络协议嵌入，甚至可以通过控制数据包的发送间隔或时序来进行秘密信息的嵌入。

（2） 海量隐藏容量： 只要流媒体会话一直持续，则秘密信息的传输也将一直

进行，因此即便每个嵌入单元所携带的秘密信息量很小，只要延长通话时间，理论上可以传输任意长度的秘密信息，这是静态媒体所无法达到的。

（3） 隐写检测成本高： 流媒体是在网络上传输的实时瞬态媒体数据，不像静态的图像或音频等载体易于获得，对其进行检测，首先需要捕获网络中的数据包，通过对包的分析重构出通信链路，之后才能进行隐写分析，这些因素都导致对其进行隐写检测实施难度极大。

鉴于上述特性，近年来流媒体信息隐藏技术的研究逐渐引起了学术界的高度重视。根据现有文献，基于流媒体的隐蔽通信技术大致可以归为以下三类。

（1） 基于网络协议的信息隐藏： 基于网络协议的信息隐藏技术有两种典型的实现方式［3039］： 其一是基于连续的网络数据包的头部信息往往变化不大这一客观事实，将秘密信息嵌入到协议头部未用或可选区域，如IP头部、TCP头部、UDP头部以及RTP、TCP头部等。此类方法的优点在于能够支持较高的隐藏容量，但不得不以牺牲某些网络功能为代价。其二是通过调制发送数据包的速率，即根据传递秘密信息的需要有意地调制数据包之间的时间间隔。这类方法的优点是具有较高的隐藏透明性，但是只有较低的隐藏容量，并且会对网络的服务质量 (Quality of Serviee，QoS)带来较大影响。

（2） 基于语音载荷的信息隐藏： 基于载荷的方法是通过修改流媒体中载荷的冗余信息来达到实现隐蔽通信的目的。从已有文献来看，LSB替换信息隐藏以其实施简单、易于集成等优点在流媒体隐蔽通信中得到了最广泛的应用。但是，经过多年研究，在较高嵌入率时，LSB替换目前已经可以有效检测，为此，Huang等人引入其升级版本 LSB Matching信息隐藏方法构建了具有更高隐蔽性的流媒体隐蔽通信系统。Su等人通过对G.729A算法特性的研究，提出了一种基于码书位置向量的信息隐藏算法，并通过抗噪性分析得出了固定码书是适合信息隐藏的最佳位置的结论。Aoki提出了一种针对常用高速率语音编码器G.711μ律的信息隐藏技术。Liu等人分析了G.729帧中的各参数，总结了G.729中可用于信息隐藏且具有较高透明性的最低有效位［47］。Xiao等人引入QIM方法提出了一种针对低速率语音编码的信息隐藏方法［48］。该方法以图论为基础，提出了互补邻居顶点算法(complementary neighbor vertex，CNV)，用以优化码本分组算法。近期，有学者提出了利用音调合成滤波器即基音预测器进行信息隐藏的方法，具体而言，该类方法通过修改基音对应的自适应码本搜索过程进行信息隐藏，通过与语音编码过程集成取得了较好隐写透明性。

（3） 多维信息隐藏： 流媒体中的信息隐藏是具有不同维度的，其中网络协议是一个维度，语音载荷是另一个维度，这两个维度可以单独使用进行信息隐藏，上面介绍的两类信息隐藏方法即属于此种情况。但是，两个不同维度也可配合进行跨维度的信息隐藏，这种情况称为多维信息隐藏，例如文献［49］给出了一种联合使用G.723.1语音编码码流中的静音帧数据以及RTP包头域进行多维信息隐藏的方法。

5.3流媒体信息隐藏检测技术概述

流媒体信息隐藏检测的目标是检测流媒体中是否存在信息隐藏，其实质仍然是信息隐藏分析技术。信息隐藏分析技术是信息隐藏技术的对抗技术，它是对可疑的载体信息进行攻击，以达到检测、破坏甚至提取其中秘密信息的技术，亦称为隐写分析术（Steganalysis）。目前信息隐藏分析技术发展较快，按照隐藏分析达到的效果进行分类，可分为以下三类： 

(1) 检测技术。对可疑的载体信息，只需判断其中是否存在隐藏信息即可。

(2) 破解技术。判断出隐秘载体存在隐藏信息之后，将其中隐藏的信息内容破解分析出来。

(3) 攻击技术。不管能否破解出隐秘载体中隐藏的信息，对隐秘载体进行攻击，破坏秘密信息，使得隐秘载体就算顺利到达接收者的手上，也无法正确提取出其中的秘密信息。

目前，在信息隐藏分析各类研究中，研究最多的是信息隐藏检测技术，这是因为信息隐藏技术隐藏的是秘密信息的可见性，一旦被判定存在信息隐藏，信息隐藏过程已经失败。当前静态媒体信息隐藏检测技术，根据不同的标准可划分为多个类别，如图54所示。检测的实质问题是判断载体变化，载体变化情况可从多个维度进行观测，据此可将检测技术按照检测维度分为以下三类： 

（1） 基于感官的检测： 在数字载体的失真和噪声中，人类可感知的失真或模式最容易被检测到。感官检测的思想是移去载体所有载体信息的部分，利用人类感官(视觉、听觉等)感知和分辨噪声的能力，区分剩余部分是否含有秘密信息或依然是原始载体的内容。例如，1999年Andreas Westfeld等人给出的视觉攻击［57］，其思想是通过对载体图像进行滤波后，使用人的视觉进行分辨，通常隐藏有信息的图像在滤波后看上去具有白噪声特性，而自然图像在滤波后通常具有与原图像相似的可视图案。

（2） 基于统计分布的检测： 该方法是将原始载体信号概率分布和载体中信号的概率分布情况进行比较，对其中的差异进行检测。信息隐藏改变载体数据流的冗余部分虽然没有改变载体的感观效果，却改变了原始载体数据的统计特性。通过判断可疑载体的统计特性是否正常，来判断是否隐藏有秘密信息。1999年Andreas Westfeld等人同样给出了一种统计攻击方法［57］，又称卡方分析、直方图分析。该方法利用信息隐藏后，图像的偶索引的直方图与奇索引的直方图具有相同的分布，构造出检测统计量，进而检测出是否隐藏信息。该方法可以检测出连续嵌入的LSB替换隐藏方法，但是对随机嵌入的LSB方法检测效果并不理想。

（3） 基于特征变化的检测： 它根据隐藏信息的嵌入会造成载体某方面的特征发生变化，将变化作为特征进行检测。这种特征变化是多种多样的，也包括感官或统计分布可以察觉的变化，但是很多信息隐藏算法导致的特征变化是很难察觉的，必须经过深入的分析或者采用一些数学变化才能在某个维度上发现载体特征的变化，而且特征的变化必须能够有效量化，这样才能通过精度衡量特征的变化进行信息隐藏检测。

上述几类方法中，前两类方法是比较直观的也是早期使用的信息隐藏检测技术。随着更复杂信息隐藏技术的出现，现在已经很难用这两类方法进行检测。基于特征变化的检测方法是当前主流的信息隐藏检测技术。

另一方面，根据攻击者已知信息情况，例如是否获得原始载体、是否知道信息隐藏算法，可以设计不同的检测算法。具体而言，有下面三种情况： 

（1） 已知载体检测： 在检测过程中通过比较原始载体和隐秘载体的差异进行检测。通常通过对原始载体和隐秘载体的数据或变换前后的数据进行关联分析，来判断是否隐藏有秘密信息。已知载体检测较为容易，但由于现实中很难独立获得原始载体，因此实际应用价值不大，但是在研究新的隐藏算法的检测算法时，一般都是从比较载体和隐秘体的差异开始。

（2） 已知隐藏算法的检测： 已知可疑载体所用的信息隐藏算法和该对象的一些媒体信息，利用已知的隐藏算法进行适当处理，从而推出该载体是否含有隐藏信息。根据信息隐藏算法的不同，该类检测又可分为空域信息隐藏算法的检测［5860］和频域信息隐藏算法的检测［61］等。例如，Fridrich等人［62］于2001年提出了一种针对LSB置换方法的RS分析算法，该算法通过定义三类图像组： 常规组R、异常组S和未用组U，并且根据R组和S组数目随着信息嵌入率p的大小而变化的统计关系，得出嵌入率的估计值。2003年，Sorina等人提出了一种样点对分析（SPA）算法［58］，通过分析载体信号样点对在LSB信息隐藏下的状态转移情况，估算信息的嵌入率。此外，还有针对扩频隐藏的方法［61］以及针对QIM的检测方法［63］等。

（3） 盲检测： 在只获得隐秘载体而没有原始载体对比的情况下进行检测。盲检测主要依赖于信号检测技术、信号估计和预测技术以及巧妙的算法设计策略，其实现难度较大，但由于通常情况下得不到原始载体，实际中往往只能对可疑的载体进行隐藏判断，因此得到了广泛应用。目前研究最多的就是盲检方法，如视觉攻击［57］、RS分析算法协［62］和SPA方法［58］等。上述方法通常针对已知的一类信息隐藏方法。还有一类通用的盲隐藏分析方法，通常可以检测多种信息隐藏方法和隐藏工具。如Ismail等人于2003年提出了一种基于图像质量评估参数和多元线性回归分类器的检测方法［64］。该方法根据信息隐藏后图像的质量在统计上会低于原始图像，因此可用质量评估参数度量这种差别。通过使用方差分析的方法挑选在统计上具有较好可分性的特征参数，用于多元线性回归分类器的学习训练。该方法可以检测包括扩频法、LSB法在内的多种图像信息隐藏方法和图像信息隐藏工具，但是较之针对已知隐藏算法的检测方法，该方法的检测正确率不高。因此，目前研究较多的是对特定隐藏算法的盲检测算法。

除了图像的隐藏分析方法之外，针对语音的隐藏分析方法研究目前也较多，获得了较好的进展。如文献［65］采用n维形态学变换和边缘失真测度未藏信息的音频和隐藏信息的音频之间的统计差异，从而检测出隐藏信息。文献［66］提出了一种基于语音质量评估参数和遗传算法的检测方法，该方法根据信息隐藏后语音的质量在统计上会低于原始语音，因此可用语音质量评估参数度量这种差别。通过遗传算法选取有较好可分性的特征参数，用于支持向量机的学习训练，从而可以检测是否隐藏信息。文献［67］提出了一种针对WAV格式的语音信息隐藏侦测算法。该方法先对语音信号进行四阶一维小波分解，通过对小波带系数值的线性预测提取出有效的统计特征，再使用这些统计量建立支持向量机分类器，并用支持向量机分类进行通用盲检测，判断是否隐藏有信息。

从上述检测类型和实际需求来看，盲检测应是信息隐藏分析的重点。

由于流媒体信息隐藏技术目前仍处于起步阶段，专门针对流媒体信息隐藏检测的研究，目前仅有少量见诸报道。根据上文对流媒体信息隐藏技术的分类，信息隐藏检测技术可以分为基于语音载荷以及基于网络协议的信息隐藏检测两大类，多维信息隐藏可以在任何一个维度上进行检测。

对于基于语音载荷的信息隐藏由于检测难度较大，相对有较多的研究。文献［68］、［69］对于语音流的LSB隐写提出了一种基于滑动窗口进行流媒体信息隐藏检测的方法，该方法抽取RTP包中的语音载荷，通过选定一个合适的时间窗对窗内的语音采样使用RS检测来判定该语音信号中是否采用了LSB替换隐写。文献［70］、［71］ 认为对语音流进行隐写会导致语音质量的降低，因此他们通过计算语音流的Mel倒谱特征并结合支持向量机来判别语音流是否存在隐写。文献［72］研究了使用G.723.1编码器的语音流媒体系统，分析了利用“未使用”位进行信息隐藏时的检测算法。文献［73］研究了改进图像隐写分析方法以实现对语音流进行隐写分析的方法，通过抽取语音流的13个一阶和二阶统计量，成功实现了对语音流中PCM编码语音流隐写的检测。

对于基于网络协议的信息隐藏其检测相对要简单些。这是因为为了达到提高有效载荷的目的，网络通信协议一般都经过精心设计、务求精简，协议的每个域一般都具有明确清晰的含义，域的内容也基本具有较为明显的模式特征。进行信息隐藏时由于必须改变某些域的取值，很容易破坏域内容的模式特征，因此该方面的研究较少。目前我们掌握的公开报道文献中仅发现美国陆军研究实验室Juan C. Pelaez给出的一种基于网络协议“误用模式”的检测方法，该方法首先对利用SIP协议和RTP包头自由域及可选域进行信息隐藏的过程进行建模，其后通过检测通信过程是否有“误用模式”（即通信过程与预定义模型在某一维度上不符）来判定是否存在隐写。

综观现有研究，基于语音载荷的信息隐藏检测技术是当前流媒体信息隐藏检测技术研究主流。

‍‍‍‍第一篇网络隐蔽通信技术

第1章信息隐藏技术概述

1.1信息隐藏技术的发展

1.1.1信息隐藏技术的起源

1.1.2现代信息隐藏术的发展

1.2信息隐藏技术的概念

1.3信息隐藏技术的特点 

1.4信息隐藏技术的主要分支 

1.4.1隐写术

1.4.2隐蔽信道

1.4.3阈下信道

1.4.4匿名通信

1.4.5数字水印

1.5小结 

第2章网络隐蔽通信技术概述

2.1网络隐蔽通信的概念

2.1.1网络隐蔽通信产生的背景

2.1.2网络隐蔽通信的基本概念

2.1.3网络隐蔽通信模型 

2.1.4网络隐蔽通信系统的性能需求 

2.2网络隐蔽通信系统的安全性 

2.2.1安全性的定义

2.2.2网络隐蔽通信系统的安全性评价 

2.3网络隐蔽通信系统的隐藏容量

2.3.1隐藏容量不等于信道容量

2.3.2安全隐藏容量问题 

2.3.3网络隐蔽通信的隐藏容量 

2.4小结

第3章网络协议中的信息隐写方法

3.1网络协议隐写方法概述

3.1.1网络层协议中的隐写方法

3.1.2传输层隐蔽信道

3.1.3应用层隐蔽信道

3.2基于RTP/RTCP协议的隐写方法

3.2.1RTP协议

3.2.2RTCP协议

3.2.3RTCP协议的发送时间特性分析

3.2.4RTP/RTCP存储型隐藏算法

3.2.5改进的RTCP协议存储型隐藏算法

3.2.6RTCP包时分型隐秘信道

3.2.7时分型隐秘信道算法的误码分析

3.2.8改进的时分型隐藏算法

3.2.9基于RTP/RTCP序列的时分型隐藏算法

3.3小结

第4章网络语音流中的信息隐写方法

4.1低速率语音编码中的隐写方法

4.1.1基于固定码本分区的隐写方法

4.1.2基于密钥控制的QIM低速率语音隐写算法

4.1.3基于G.723.1语音编码的自适应隐写方法

4.2G.711语音编码的隐写方法

4.2.1G.711语音编码的分块隐写方法

4.2.2G.711的LSB差分隐藏算法

4.3网络流媒体隐蔽通信的分层模型和可靠性方法

4.3.1网络流媒体隐蔽通信的分层模型

4.3.2网络流媒体中隐蔽通信的可靠性方法

4.4小结

第二篇网络隐蔽通信检测技术

第5章网络隐蔽通信检测技术概述

5.1网络隐蔽通信检测技术研究意义

5.2流媒体信息隐藏技术概述

5.3流媒体信息隐藏检测技术概述

5.4流媒体信息隐藏检测框架

5.5机器学习技术概述

5.5.1机器学习与模式分类

5.5.2单一分类器模型简介

5.5.3集成学习

第6章量化索引调制隐蔽通信的检测

6.1引言

6.2低速率语音编码中的QIM隐写

6.3相关研究

6.4CNVQIM隐写造成的显著性特征变化分析

6.5码字分布特性的量化统计模型

6.5.1码字分布不均衡性特性的抽取

6.5.2码字分布相关性特性的抽取

6.5.3隐写对码字分布特性的改变

6.6基于机器学习的隐写检测

6.6.1基于分类器的隐写检测过程

6.6.2SVM分类器的训练和预测

6.7检测算法性能评价

6.7.1数据集及性能评价方法

6.7.2不同码流时长下的隐写检测性能

6.7.3检测算法的时间性能

6.8小结

第7章联合嵌入点量化索引调制隐蔽通信的检测

7.1联合嵌入点QIM隐写

7.2压缩语音码流的音素向量空间表示模型

7.2.1基本思想

7.2.2音素分布特性的量化统计模型

7.2.3基于低速率语音编码标准的分帧

7.2.4基于聚类的音素集合获取

7.3基于贝叶斯网络的隐写检测

7.3.1基于贝叶斯分类器的隐写检测建模

7.3.2贝叶斯分类器网络的构建

7.3.3隐写检测过程

7.4性能评估

7.4.1数据集

7.4.2实验及讨论

7.5小结

第8章基音调制隐蔽通信的检测

8.1基音调制信息隐藏简介

8.2隐写分析基本思想

8.3码书关联网络模型的构建

8.3.1G.723.1码书关联网络

8.3.2G.729码书关联网络

8.4码书关联网络的剪枝

8.4.1G.723.1码书关联网络的剪枝

8.4.2G.729码书关联网络的剪枝

8.5强相关顶点之间关联关系的量化

8.6检测过程

8.6.1G.723.1特征向量提取

8.6.2G.729特征向量提取

8.7检测算法性能分析

8.8小结

第9章最低有效位替换隐蔽通信的检测

9.1引言

9.2PCM语音编码中的LSB隐写

9.2.1顺序LSB替换隐写

9.2.2随机位置LSB替换隐写

9.2.3LSB匹配隐写

9.3检测总体框架

9.4高维特征提取

9.4.1语音采样噪声相关性建模

9.4.2基于信号局部相关性的噪声序列估计

9.4.3基于小波去噪的噪声序列获取

9.4.4噪声序列多阶马尔可夫特征向量

9.5基于特征分裂及Bagging算法的集成学习

9.6算法性能评价

9.7小结

第10章网络协议的信息隐藏检测方法

10.1网络协议信息隐藏的检测框架

10.2多维载体空间的信息隐藏检测方法

10.2.1多维载体空间的特点

10.2.2多维载体空间的信息隐藏检测模型

10.3RTP/RTCP协议的信息隐藏检测方法

10.3.1基于噪声估计的RTP时间戳域的隐藏检测方法

10.3.2针对RTCP游程隐藏的直方图相似度匹配检测方法

10.4小结

参考文献

‍‍‍‍