Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

144
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
143
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
function invE'(in: stego; out: emb);
if R(E(stego, 0)) = etwas_verborgen or R(E(stego, 1)) = etwas_verborgen
E(cover, not(emb)) = E(stego, not(emb)),
then emb := leer else emb := invE(stego);
welche durch Einsetzen von stego = E(cover, emb) äquivalent umgeformt werden kann in
E(cover, not(emb)) = E(E(cover, emb), not(emb)) 102 ,
Diese ineffiziente Konstruktion läßt Sendemöglichkeiten aus, wo E(cover, emb) akzeptabel ist,
E(cover, not(emb)) aber nicht. Die folgende effiziente Konstruktion ist also günstiger.
Die effiziente Konstruktion:
Der Sender prüft, ob E(cover, emb) akzeptabel, d.h. aus seiner Sicht für einen Stegoanalytiker
die Einbettung nicht verratender Werte für Stegotext ist und bettet nur dann ein, d.h. sendet nur dann
stego := E(cover, emb) statt cover. Wenn sowohl E(stego, 0) wie auch E(stego, 1) akzeptable Werte
sind, betrachtet der Sender emb als übertragen, ansonsten sendet er emb noch mal.
Eine Implementierung des verbesserten Einbettungsalgorithmusses E' mit möglichst wenig
Aufrufen von E und R lautet:
function E'(in: cover, emb; out: stego);
stego := E(cover, emb);
if R(stego) = etwas_verborgen
then begin stego := cover; E'(next cover, emb) end
else
if R(E(stego, 0)) = etwas_verborgen or R(E(stego, 1)) = etwas_verborgen
then E'(next cover, emb);
Der Empfänger erhält stego' (dies kann stego oder cover sein) und berechnet emb' := E-1 (stego').
Der Empfänger prüft, ob E(stego', 0) und E(stego', 1) jeweils akzeptable Werte für Stegotext sind
und empfängt ggf. emb', ansonsten nichts. (Dies ist exakt gleich wie oben, so daß die obige
Implementierung übernommen werden kann.)
Warum funktioniert dies?
Fall 1: Der Sender sendet stego, d.h. stego' = stego. Der Empfänger empfängt also emb' =
emb genau dann, wenn der Sender emb als übertragen betrachtet.
Fall 2: Der Sender sendet cover, d.h. stego' = cover. Dann ist entweder E(cover, 0) oder
E(cover, 1) nicht akzeptabel (denn eins von beiden ist E(cover, emb), was der Sender
als nicht akzeptabel verwirft) – oder beide. Der Empfänger empfängt also nichts, da
wegen stego' = cover entweder E(stego', 0) oder E(stego', 1) (oder beide) ein nicht
akzeptabler Werte für Stegotext sind.
dann kann der Empfänger so auch prüfen, ob beide möglichen Werte des Bits hätten eingebettet
werden können und ob der Sender folglich einbetten konnte. Der Empfänger gibt das errechnete emb
also nur nach außen, wenn E(stego, not(emb)) ein akzeptabler Wert für den Stegotext ist.
Eine effiziente Implementierung des verbesserten Extraktionsalgorithmusses E'-1 lautet:
function invE'(in: stego; out: emb);
emb := invE(stego);
stego_alternativ := E(stego, not(emb));
if R(stego_alternativ) = etwas_verborgen
then emb := leer;
Es stellt sich nun die Frage: Ist obiges Ziel für E und E-1 nur zu erreichen, wenn das Stegosystem die
obigen Gleichungen erfüllt? Die Antwort ist ein konstruktives Nein.
4.2 Informationstheoretisch sichere Steganographie
Die ineffiziente Konstruktion:
Die Idee besteht darin, den Sender wie den Empfänger prüfen zu lassen, ob auch in stego beide
möglichen Werte eines Bits eingebettet werden können. Nur dann gilt das Bit als übertragen. Im
einzelnen:
Der Sender prüft, ob E(cover, 0) und E(cover, 1) jeweils akzeptable, d.h. aus seiner Sicht für
einen Stegoanalytiker die Einbettung nicht verratende Werte für Stegotext sind und bettet nur dann
ein, d.h. sendet nur dann stego := E(cover, emb) statt cover. Wenn sowohl E(stego, 0) wie auch
E(stego, 1) akzeptable Werte sind, betrachtet der Sender emb als übertragen, ansonsten sendet er emb
noch mal.
Eine Implementierung des verbesserten Einbettungsalgorithmusses E' mit möglichst wenig
Aufrufen von E und R lautet:
function E'(in: cover, emb; out: stego);
stego := E(cover, emb);
stego_alternativ := E(cover, not(emb));
if R(stego) = etwas_verborgen or R(stego_alternativ) = etwas_verborgen
then begin stego := cover; E'(next cover, emb) end
else
if R(E(stego, 0)) = etwas_verborgen or R(E(stego, 1)) = etwas_verborgen
then E'(next cover, emb);
Der Empfänger erhält stego' (dies kann stego oder cover sein) und berechnet emb' := E-1 (stego').
Der Empfänger prüft, ob E(stego', 0) und E(stego', 1) jeweils akzeptable Werte für Stegotext sind
und empfängt ggf. emb', ansonsten nichts.
Warum funktioniert dies?
Fall 1: Der Sender sendet stego, d.h. stego' = stego. Der Empfänger empfängt also emb' =
emb genau dann, wenn der Sender emb als übertragen betrachtet.
Fall 2: Der Sender sendet cover, d.h. stego' = cover. Dann ist entweder E(cover, 0) oder
E(cover, 1) nicht akzeptabel – oder beide. Wegen stego' = cover gilt Gleiches also für
die vom Empfänger getesteten Werte E(stego', 0) und E(stego', 1).
Eine effiziente Implementierung des verbesserten Extraktionsalgorithmusses E'-1 lautet:
4.2.1 Informationstheoretisch sichere steganographische Konzelation
KlPi_97
4.2.2 Informationstheoretisch sichere steganographische Authentikation
Arbeitspapier von Herbert Klimant und Rudi Piotraschke
4.3 Zwei gegensätzliche Stegoparadigmen
4.3.1 Möglichst wenig ändern
Least Significant Bit (LSB)
102
Diese Gleichung besagt: Wenn nacheinander zwei inverse Bits eingebettet werden, dann überschreibt die zweite
Einbettung die erste. D.h. die Einbettungsposition ist nicht vom Wert des Bits abhängig.