Netzsicherheit. Teil 6: Pay-TV. Prof. Dr. Jörg Schwenk Lehrstuhl für Netz- und Datensicherheit

Transkript

1 Netzsicherheit Teil 6: Prof. Dr. Gliederung Funktionsweise Conditional Access (CA) Angriffe auf das analoge Scrambling Videocrypt (BSkyB Analog) Nagravision (Premiere Analog) Angriffe auf das Schlüsselmanagement Videocrypt Irdeto/BetaResearch Digitales Fernsehen und der Common Scrambling Algorithmus MPEG-2 Transportformat und DVB Der CSA Broadcast Encryption Traitor Tracing Kurzeinführung Digital Watermarking 2 1

2 Ziele Conditional Access Autorisierter Benutzer Autorisierter Benutzer Nichtautorisierter Benutzer 3 Funktionsweise Conditional Access Audio/Video verschlüsselt + Zugriffsbedingungen (in ECM) Überprüfe, ob die Zugriffsrechte mit den Zugriffsbedingungen übereinstimmen. Wenn ja, entschlüssele! CNN 2 Zugriffs- Rechte 4 2

3 Funktionsweise Conditional Access Scrambling / Verschlüsselung Analog: Das Videosignal wird in einen FIFO-Puffer geladen und unter Kontrolle eines kryptograph. Schlüssels CW modifiziert. Digital: Der MPEG-2-TS wird durch den DVB Common Scrambling-Algorithmus mit dem Schlüssel ( Kontrollwort ) CW verschlüsselt. Schlüsselmanagement / Conditional Access CW wird (verschlüsselt mit einem Service-Schlüssel SK) in einer ECM übertragen, zusammen mit Zugriffsbedingungen. SK wird (verschlüsselt mit einem persönlichen Schlüssel PK oder einem Gruppenschlüssel GK) in einer EMM übertragen, zusammen mit Zugriffsrechten. Stimmen Bedingungen und Rechte überein, so gibt die Chipkarte CW frei. 5 Scrambling / Conditional Access -Anbieter Kunde Video CSA CSA CW (Video) CSA Video CW E CW D Scrambling CA E D 6 3

4 Verschlüsselung im Consumer Electronics -Bereich Neue, sehr spezifische Bedrohungen Der einzelne Kunde hat kein Interesse daran, seine kryptographischen Schlüssel (SK, GK, PK) geheimzuhalten. Marketingstrategien und Sicherheitsanforderungen sind oft unvereinbar. Geräte und Chipkarten werden preisgünstig und unkontrollierbar abgegeben. Großes Potential an versierten Hackern mit einfachen, aber effektiven Angriffen. Frühestes Beispiel für Seitenkanalangriffe in der Praxis Forschungsgebiet seit 2006: Rational Cryptography Angreifer sind nicht per Definition böse, sondern jeder Teilnehmer aknn abhängig von einer Gewinnfunktion gut oder böse sein. 7 Gliederung Funktionsweise Conditional Access (CA) Angriffe auf das analoge Scrambling Videocrypt (BSkyB Analog) Nagravision (Premiere Analog) Angriffe auf das Schlüsselmanagement Videocrypt Irdeto/BetaResearch Digitales Fernsehen und der Common Scrambling Algorithmus MPEG-2 Transportformat und DVB Der CSA Broadcast Encryption Traitor Tracing Kurzeinführung Digital Watermarking 8 4

5 Scrambling / Conditional Access -Anbieter Kunde Video CSA CSA CW (Video) CSA Video CW E ECM = E SK (CW) CW D Scrambling CA SK E EMM = E PK (SK) D SK PK PK 9 Videocrypt 10 5

6 Mehr Infos zu Videocrypt 11 Nagravision/Syster 12 6

7 Mehr Infos zu Nagravision/Syster 13 Nagravision/Syster Angriffe auf das analoge Scrambling Der PSND1-Dekoder für die SECAM-Version des Nagravision-Systems rekonstruiert(e) gescrambeltes Audio/Video in Echtzeit. Quelle:

8 Nagravision/Syster Angriffe auf das analoge Scrambling (2): PC-Basierte Angriffe Pentium 166 Mhz Videokarte mit Framegrabber Funktioniert für Nagravision/Syster und Videocrypt Illegal bei Entschlüsselung deutscher Sender Quellen: Gliederung Funktionsweise Conditional Access (CA) Angriffe auf das analoge Scrambling Videocrypt (BSkyB Analog) Nagravision (Premiere Analog) Angriffe auf das Schlüsselmanagement Videocrypt Irdeto/BetaResearch Digitales Fernsehen und der Common Scrambling Algorithmus MPEG-2 Transportformat und DVB Der CSA Broadcast Encryption Traitor Tracing Kurzeinführung Digital Watermarking 16 8

9 Schlüsselmanagement/CA -Anbieter Kunde Video CSA CSA CW (Video) CSA Video CW E ECM = E SK (CW) CW D Scrambling CA SK E EMM = E PK (SK) D SK PK PK 17 Schlüsselmanagement Videocrypt Deaktivierung einer Chipkarte durch negative Adressierung Alle Karten besitzen das gleiche Geheimnis Deaktivierung einer Karte nur in Kooperation mit dieser möglich Folge: Infinite Life -Attacke Descrambling ohne Chipkarte möglich EMM=ECM CW Hash MAC Okay? Adr 1 Adr 2 Adr 3 Adr

10 Geschichte der Videocrypt-Hacks 2.24 The *REAL* History of Hacks On VideoCrypt 2.24a Hack 01: The McCormac Hack 2.24b Hack 02: The Infinite Lives Hack 2.24c Hack 03: The KENtucky Fried Chip Hack 2.24d Hack 04: The 07 Ho Lee Fook (8752/8051) 2.24e Hack 05: The 07 Ho Lee Fook (PIC16C54) 2.24f Hack 06: The 07 Ho Lee Fook (PIC16C84) 2.24g Hack 07: The 07 Season Program 2.24h Hack 08: The 09 Ho Lee Fook (temporary) 2.24i Hack 09: The Phoenix / Genesis Blocker 2.24j Hack 10: The Stable 09 Ho Lee Fook 2.24k Hack 11: The 09 Battery Card 2.24l Hack 12: The 09 Season Program 2.24m Hack 13: The Sam Chisum Hack On Sky 10 PPV 2.24n Hack 14: The Sky 10 Commercial Phoenix Hack 2.24o Hack 15: The Megatek 10 Battery Card 2.24p Hack 16: The Judgment Night PPV Hack 2.24q Hack 17: The Christmas 1996 Phoenix 2.24r Hack 18: Season s Hack 19: Phoenix t Hack 20: SkyPIC u Hack 21: Sky 10/11 Blocker Quelle: CA im Entertainment-Bereich Angriffe auf das Schlüsselmanagement Blocker filtern Befehle zum Deaktivieren der Chipkarte aus

11 Videocrypt-Hacks: Der Season-Hack Der geheime PRF-Algorithmus wurde im PC nachprogrammiert Kerkhoffs! 21 Videocrypt-Hacks: Der Lötkolben-Hack Quelle: M. Kuhn 22 11

12 Sicherheit von NDS VideoGuard: Komplexität des ASIC The best technology available. Custom-designed hardware components include NDSspecific circuits based on high density components to prevent device analysis and re-engineering. conditional_access/ videoguard_security.html 23 Schlüsselmanagement Eurocrypt (Nagra, Canal+, Viaccess,...) Aktivierung einer Chipkarte durch positive Adressierung CW ECM ECM wird mit SK verschlüsselt übertragen SK wird mit den SK EMM verschiedenen GK i verschlüsselt in EMM übertragen GK i wird mit den verschiedenen SK j GK 1 GK 2 verschlüsselt in EMM übertragen PK 1 PK 2 PK 3 PK

13 Schlüsselmanagement/CA Deaktivierung einer Chipkarte durch positive Adressierung CW Zum Deaktivieren von ECM Karte 4 müssen GK 2 und SK ausgetauscht werden. SK EMM EMM 1 enthält neuen GK 2 verschlüsselt mit PK 3. EMM 2 enthält neuen SK verschlüsselt mit GK 1 GK 1 GK 2 EMM 3 enthält neuen SK verschlüsselt mit GK 2 PK 1 PK 2 PK 3 PK 4 25 Schlüsselmanagement/CA Optimierung der positiven Adressierung CW n Kunden, m-ärer Baum ECM der Tiefe t n m t-1 SK EMM m(t-1)-1 = m log m n -1 Funktion (n fest) x log x n = (x/ln x) ln n hat Minimum bei x=e Daher m = 2 oder m = 3 optimal. GK 1 GK 2 PK 1 PK 2 PK 3 PK

14 Schlüsselmanagement/CA Positive Adressierung in der Praxis ECM enthält ID-Nummer des Kanals, für den sie bestimmt ist Rechte, die für diesen Kanal benötigt werden (in der Reihenfolge Pay-per-Channel, Prebooked PPV, Impulsive PPV) Gesichert mit MAC SK (ID, Rechte) EMM-U enthält Nummer der Gruppe, der die Karte zugeordnet wird Schlüssel der Gruppe, der die Karte zugeordnet wird Verschlüsselt mit PKi Gesichert mit MAC PKi (Daten) 27 Schlüsselmanagement/CA Positive Adressierung in der Praxis EMM-G enthält Adresse der Gruppe, für die die EMM bestimmt ist Bitmap der Gruppe Berechtigung, die die in der Bitmap markierten Mitglieder der Gruppe erhalten sollen Verschlüsselt mit GKi Gesichert mit MAC GKi (Daten) Gruppe SPORT MAC GKi 28 14

15 Angriffe Schlüsselmanagement Piratenkarten emulieren das ECM/CW I/O-Verhalten der Originalkarten SK muss der Piratenkarte bekannt sein Datenformate ECM müssen bekannt sein Bei Wechsel des SK: Update des neuen SK über die 10er- Tastatur Quelle: 29 Angriffe Schlüsselmanagement Programmierbarer Chipkartenemulator icard Komplette Software der icard kann erneuert werden Bei häufigem Wechsel von SK kann auch ein GKi mit abgespeichert werden (halbanonym) Heute: Programmierbare leere Chipkarten (alles in SW) Quelle:

16 Angriffe Schlüsselmanagement PC/Dekoder-Schnittstelle mit seriellem Kabel (SEASON- Interface) ermöglichen die Simulation der Chipkarte durch einen PC (für VIACCESS, MediaGuard, Irdeto,...) Das SEASON-Programm benötigt aktuelle kryptographische Schlüssel Key-Datenbanken im Internet 31 Angriffe Schlüsselmanagement Standard-Chipkarten als Piratenkarten: Reaktivierung von Originalkarten Fall 1: Schwäche des MAC-Algorithmus (Programmierfehler) Fall 2: GKi bekannt oder kann auf Karte geladen werden Fall 3: PKi bekannt oder kann auf die Karte geladen werden Bild: Chipkartenleser zur Reprogrammierung von Originalkarten

17 Angriffe Schlüsselmanagement Reaktivierung von Originalkarten (MOSC): Wie kann das funktionieren? Auslesen oder Schreiben von Schlüsseln durch Buffer Overflow SK kann auf Karte geschrieben werden: Ausschalten durch Produktwechsel GKi oder PKi kann auf Karte geschrieben werden: Autoupdate - Karten CardWizard: z.b. unter 33 Schlüsselmanagement/CA Varianten der Schlüsselhierarchie für mehrere Produkte Gruppen sind fest, mehrere SK SK2 CW GK 1 GK 2 CW SK1 ECM EMM PK 1 PK 2 PK 3 PK

18 Schlüsselmanagement/CA Varianten der Schlüsselhierarchie CW für mehrere ECM Produkte Gruppen sind bzgl. SK optimiert SK EMM Mehrere unabhängige Anbieter pro Karte möglich (Analogon root/user unter Unix) GK 1 GK 2 PK 1 PK 2 PK 3 PK 4 35 Gliederung Funktionsweise Conditional Access (CA) Angriffe auf das analoge Scrambling Videocrypt (BSkyB Analog) Nagravision (Premiere Analog) Angriffe auf das Schlüsselmanagement Videocrypt Irdeto/BetaResearch Digitales Fernsehen und der Common Scrambling Algorithmus MPEG-2 Transportformat und DVB Der CSA Broadcast Encryption Traitor Tracing Kurzeinführung Digital Watermarking 36 18

19 Digitales Fernsehen: MPEG-2 Daten werden in Transportpaketen (188 Bytes) transportiert Zeitmultiplex verschiedener Audio/Video/Datenströme Einzelne Pakete des gleichen Stroms haben gleiche PID 37 Digitales Fernsehen: MPEG-2 Übertragung der Transportpakete im Zeitmultiplex Zusammenfassung von PID-Strömen zu Services mittels Tabellen ( Service Information, SI) Tabellen bilden eine Art Dateisystem für das MPEG-2-System root -Verzeichnis hat feste, allgemein bekannte PID PID = 1 PID = 1 PID = 2 PID = 1 PID = 1 PID = 3 PID = (Video) (Video) (Audio) (Video) (Video) (Daten) (Audio)... Service 1: PID = 1 (Video) PID = 2 (Audio) PID = 3 (Daten) Service 2: PID = 1 (Video) PID = 17 (Audio) 38 19

20 Digitales Fernsehen: nach DVB ECM-Datenstrom jeweils an einen Service gebunden Wenn ein bestimmter Service (Audio/Video/Daten) über SI ausgewählt wurde ( EPG ), filtert die Set-Top-Box die zugehörigen ECMs und sendet sie an die Karte. EMM-Datenstrom ist unabhängig von den Services Karte muss der Set-Top-Box ihre Adressen (individuell, Gruppen) mitteilen, damit diese die EMMs filtern kann. PID = 1 PID = 1 PID = 2 PID = 1 PID = 1 PID = 3 PID= (Video) (Video) (Audio) (Video) (Video) (ECM) (EMM)... 1: PID = 1 (Video) PID = 2 (Audio) PID = 3 (ECM) EMM: PID= 213 (EMM) 39 Digitales Fernsehen: DVB- Verschlüsselung Minimale (Synchronisations-) Information zur Verschlüsselung im MPEG-TS-Header Weitere Informationen in den ECMs ECM-Varianten: enthält nur nächstes CW (even/odd) enthält aktuelles und nächstes CW TS_scrambling_control-Belegung Bedeutung 00 TS-Nutzlast ist nicht verschlüsselt 01 Reserviert für zukünftigen DVB-Gebrauch 10 Nutzlast ist mit einem geraden CW verschlüsselt 11 Nutzlast ist mit einem ungeraden CW verschlüsselt 40 20

21 Digitales Fernsehen: DVB- Verschlüsselung CSA 41 Gliederung Funktionsweise Conditional Access (CA) Angriffe auf das analoge Scrambling Videocrypt (BSkyB Analog) Nagravision (Premiere Analog) Angriffe auf das Schlüsselmanagement Videocrypt Irdeto/BetaResearch Digitales Fernsehen und der Common Scrambling Algorithmus MPEG-2 Transportformat und DVB Der CSA Broadcast Encryption Traitor Tracing Kurzeinführung Digital Watermarking 42 21

22 Broadcast Encryption Gesucht: Schlüsselmanagement für Nutzermenge U, mit dem es möglich ist eine Nachricht genau an alle Nutzer T U über ein Rundfunkmedium zu senden, so dass es auch gegen jede Koalition S U von k Angreifern mit S T= sicher ist ( k-resilient ), und die Anzahl der Schlüssel (insgesamt/pro Nutzer) minimal ist. Vorüberlegung: Um Teilmenge T U eindeutig zu bezeichnen, sind U Bits erforderlich. Nur in Spezialfällen ist hier eine Verbesserung möglich. 43 Broadcast Encryption k-resilientes Basisschema für jede Teilmenge B mit höchstens k Nutzern: wähle einen Schlüssel K B K B wird jedem Nutzer gegeben, der nicht zu B gehört Schlüssel für T: K T = B U-T K B, f Einwegfunktion. Sicherheit Den Mitgliedern jeder Teilmenge S U-T mit höchstens k Nutzern fehlt der Schlüssel K S zur XOR-Berechnung Anzahl der Schlüssel n Anzahl der i-teilmengen der Menge U, U =n, ist k i Anzahl aller Schlüssel: n i= 0 i 44 22

23 Broadcast Encryption 1-resilientes Basisschema Nutzer muss n-1 Schlüssel speichern Verbesserung durch kryptographische Annahmen Annahme 1: Es gibt Einwegfunktionen Dann gibt es pseudozufällige Funktion f : {0,1} a {0,1} 2a s s l = linke Hälfte von f(s) s r = rechte Hälfte von f(s) s ll = linke Hälfte von f(s l ) s lr s rl s rr = rechte Hälfte von f(s r ) 45 Broadcast Encryption Annahme 1: Es gibt Einwegfunktionen Schlüsselzuweisung für Nutzer x wie folgt: Entferne den Pfad von x zur Wurzel aus dem Baum Weise x die Werte zu, mit denen die verbleibenden Teilbäume beschriftet sind Damit kann x die Beschriftung aller Blätter bis auf sein eigenes rekonstruieren. log 2 n Schlüssel s r s ll x 46 23

24 Broadcast Encryption Annahme 2: Die Berechnung von p-ten Wurzeln modulo N=PQ ist praktisch unmöglich geheim, nur dem Schlüsselmanagementzentrum bekannt: Primzahlen P, Q, Zahl g, wobei <g> in Z N möglichst groß sein soll. öffentlich bekannt: Modulus N Liste ( (1, p 1 ), (2, p 2 ),..., (n, p n ) ) mit der Bedeutung, dass die Primzahl p i dem Nutzer i zugeordnet und paarweise teilerfremd zu allen anderen Primzahlen p j ist. nur Nutzer i bekannt: g i = g p i mod N Schlüssel für Gruppe T U: g pt mod N mit p T = Π i T p i 47 Broadcast Encryption Annahme 2: Die Berechnung von p-ten Wurzeln modulo N=PQ ist praktisch unmöglich Berechnung des Schlüssels durch Nutzer i T: g i p j T { i} j mod N Sicherheit: Wenn ein Nutzer j T den Schlüssel berechnen könnte, dann könnte er auch g berechnen. Beweis: 48 24

25 Broadcast Encryption Konstruktion von k-resilienten Systemen aus den 1- resilienten Grundbausteinen: Parameter L, m S U S f i injektiv auf S f 1... f L 1,..., m 49 Broadcast Encryption Konstruktion von k-resilienten Systemen aus den 1- resilienten Grundbausteinen: Parameter L, m Funktionen f 1,...,f L : U {1,...,m} (zufällig gewählt oder konstruiert) Es muss gelten: Für jedes S U mit S =k gibt es mindestens eine Funktion f i so dass für alle x,y S gilt: f i (x) f i (y) (d.h. f i ist auf S injektiv). Stichwort: Perfect Hash Functions (Die Parameter L und m sind noch geeignet zu wählen.) S U f i injektiv auf S f 1... f L 1,..., m 50 25

26 Broadcast Encryption Konstruktion von k-resilienten Systemen aus den 1- resilienten Grundbausteinen: Schlüsselverteilung Für (i,j) mit i {1,...,L} und j {1,...,m} konstruiere jeweils ein unabhängiges 1-resilientes BE-System R(i,j). (Es gibt also insgesamt L m 1-resiliente Systeme.) Jeder Nutzer x U erhält die Schlüssel für x im System R(i,f i (x)) für i {1,...,L}. (Jeder Nutzer erhält die Schlüssel für L dieser Systeme.) S U f i injektiv auf S f 1... f L 1,..., m 51 Broadcast Encryption Konstruktion von k-resilienten Systemen aus den 1- resilienten Grundbausteinen: Verschlüsselung Um eine geheime Nachricht M an eine Menge T zu senden, zerlege diese in L Teilnachrichten M 1... M L =M. S M i wird für j=1,...,m an die Menge { x T f i (x)=j } gesendet, geschützt durch R(i,j). Jeder Nutzer x T erhält so alle Teilnachrichten M i und kann die Nachricht M berechnen. U f i injektiv auf S f 1... f L 1,..., m 52 26

27 Broadcast Encryption Konstruktion von k-resilienten Systemen aus den 1- resilienten Grundbausteinen: Sicherheit Gegeben sei eine Angreifermenge S. Dann gibt es eine Funktion f i, die für S injektiv ist. S Für jedes 1-resiliente System R(i,j), U mit dem M i verschlüsselt wird, ist höchstens 1 Angreifer aus S vorhanden. Da die einzelnen Schemata 1-resilient sind, können die Angreifer so M i nicht berechnen. M bleibt somit geheim. f i injektiv auf S f 1... f L 1,..., m 53 Broadcast Encryption Konstruktion von k-resilienten Systemen aus den 1- resilienten Grundbausteinen: Wahl von L und m Für m = 2k 2 und L = k log n ist die Wahrsch., dass eine zufällig S gewählte Funktion f i auf einer Menge S injektiv ist, mindestens U k 1 k( k 1) 1 = 1 > 2 2 m 4k... Die Wahrsch., dass es kein solches f i gibt, ist 1/4 L = 1/n 2k. f L Die Wahrsch., dass es für jede k-menge S ein solches f i gibt, ist n k k k n n 3 4 f i injektiv auf S f 1 1,..., m 54 27

28 Gliederung Funktionsweise Conditional Access (CA) Angriffe auf das analoge Scrambling Videocrypt (BSkyB Analog) Nagravision (Premiere Analog) Angriffe auf das Schlüsselmanagement Videocrypt Irdeto/BetaResearch Digitales Fernsehen und der Common Scrambling Algorithmus MPEG-2 Transportformat und DVB Der CSA Broadcast Encryption Traitor Tracing Kurzeinführung Digital Watermarking 55 Traitor Tracing Definition: A k-resilient Traitor Tracing Scheme is defined as follows 1. The content is encrypted using a session key S. 2. The session key is split into r partial keys s 1,...,s r using a (m,r)- Threshold scheme [Sha79]. 3. The set of decryption keys PK contains r elements k 1,...,k r The partial key s i is encrypted under the decryption key k i. All these cryptograms together will form the enabling block for the content. 4. Each authorized user u gets a personal set PK(u) PK of decryption keys. This set contains m decryption keys from PK and will thus allow him to decrypt m shares. He then can reconstruct S using the (m,r)-threshold scheme and decrypt the content. 5. There exists a Traitor Tracing Algorithm which on input an arbitrary personal key set PK(u) found in a pirate device outputs the identity of at least one traitor out of a coalition of at most k traitors

29 Traitor Tracing Beispiel: Ein 1-resilientes Traitor Tracing Schema Nutzer sind Punkte in affiner Ebene Schlüssel Geraden in Parallelenklassen (hier 2) Jeder Nutzer erhält die Schlüssel, deren Geraden durch seinen Punkt gehen l 11 5 l l 21 l 22 l 23 l Traitor Tracing Was nicht passieren darf k Angreifer U 1,...,U k kombinieren die Schlüssel aus ihren Mengen PK(U 1 ),...,PK(U k ) so zu einer neuen Menge PK(*), dass der Tracing-Algorithmus einen unschuldigen Nutzer U als Ergebnis liefert. ( Framing ) Allgemeinstes Resultat: P. Erdös, P. Frankl and Z. Furedi: Families of Finite Sets in Which No Set is Covered by the Union of r Others. Israel J. Math. 51, 1985, pp Was optimiert werden soll PK PK(U) Länge des Enabling Block 58 29

30 Traitor Tracing Beispiel: Ein d-resilientes Traitor Tracing Schema Nutzer sind Punkte in projektivem Raum PG(d,q) Duale rationale Normkurven in PG(d,q) : 2 d R = {[1: t : t :...: t ] t GF( q)} {[0 : 0 : 0 :...:1]} Lemma: Höchstens d Hyperebenen aus R schneiden sich in einem gemeinsamen Punkt 59 Traitor Tracing Beispiel: Ein d-resilientes Traitor Tracing Schema PG(3,q) 60 30

31 Traitor Tracing Beispiel: Ein d-resilientes Traitor Tracing Schema PG(4,q) 61 Gliederung Funktionsweise Conditional Access (CA) Angriffe auf das analoge Scrambling Videocrypt (BSkyB Analog) Nagravision (Premiere Analog) Angriffe auf das Schlüsselmanagement Videocrypt Irdeto/BetaResearch Digitales Fernsehen und der Common Scrambling Algorithmus MPEG-2 Transportformat und DVB Der CSA Broadcast Encryption Traitor Tracing Kurzeinführung Digital Watermarking 62 31

32 Digitale Wasserzeichen Idee: Bette die digitale Information in das Rauschen von Multimedia-Daten (Audio, Bilder, Video) ein. Die Qualität der Daten darf nicht wahrnehmbar beeinträchtigt werden ( Invisibility ) Das Wasserzeichen kann öffentlich detektierbar sein ( public ), oder nur bei Kenntnis eines Schlüssels ( secret ). Wird das Wasserzeichen entfernt, so leidet die Qualität der Multimedia-Daten erheblich ( robustness ). 63 Steganographie Idee: Bette die digitale Information in das Rauschen von Multimedia-Daten (Audio, Bilder, Video) ein. Die Qualität der Daten darf nicht wahrnehmbar beeinträchtigt werden ( Invisibility ) Die Stego-Daten dürfen nicht detektierbar sein. (Robustheit wird NICHT gefordert: Wenn der Verdacht besteht, dass eine Datei Stego-Daten enthält, können diese durch einen Transformation der Datei gelöscht werden.) 64 32

33 Steganographie Die Idee ist leider schwer umzusetzen, denn die Stego- Daten können sichtbar gemacht werden: Originalbild (links), gefiltert ohne Stago-Daten (Mitte), gefiltert mit halber Kapazität an Stego-Daten. Andreas Westfeld, Andreas Pfitzmann: Attacks on Steganographic Systems. S in Andreas Pfitzmann (Hrsg.): Information Hiding. Third International Workshop, IH'99, Dresden, Germany 65 DW: Das Verfahren von Cox et. al. Ingemar J Cox, Joe Kilian, Tom Leighton, and Talal Shamoon: Secure Spread Spectrum Watermarking for Multimedia. NEC Research Institute Technical Report Idee: Bette die digitale Information als minimale Änderungen in die wichtigsten Koeffizienten eines Bildes ein. Was sind die wichtigsten Koeffizienten? 66 33

34 DW: Das Verfahren von Cox et. al. Bavarian Couple ohne (links) und mit (rechts) digitalem Wasserzeichen. 67 DW: Das Verfahren von Cox et. al. Der Peak ungefähr bei WZ 200 zeigt an, dass gesuchte WZ im Bild enthalten ist

35 DW: Das Verfahren von Cox et. al. Rescaling: Das WZ ist immer noch detektierbar. 69 DW: Das Verfahren von Cox et. al. JPEG-Kompression: Sowohl links (10% Qualität, 0% Smoothing) als auch rechts (5% Qualität, 0% Smoothing) bleibt das WZ detektierbar

36 DW: Das Verfahren von Cox et. al. Dithering: das WZ bleibt detektierbar. 71 DW: Das Verfahren von Cox et. al. Drucken, Photokopieren, Scannen, Skalieren: das WZ bleibt detektierbar

37 DW: Das Verfahren von Cox et. al. Idee: Bette die digitale Information in die wichtigsten Koeffizienten der DCT-transformierten Version des Bildes ein. 73 Die Diskrete Cosinus-Transformation (DCT) Idee: Transformiere das Bild oder einen Ausschnitt des Bildes (hier: 8x8-Blöcke) so, dass die wichtigsten Informationen links oben stehen

38 Die Diskrete Cosinus-Transformation (DCT) Beispiel: Block von 8x8 Pixeln (links), Koeffizientenmatrix (rechts) 75 Die Diskrete Cosinus-Transformation (DCT) Beispiel: Koeffizientenmatrix minus 128 (links), Koeffizientenmatrix nach der DCT-Transformation (rechts)

39 Die Diskrete Cosinus-Transformation (DCT) Warum stehen links oben nun die wichtigsten Werte? Bedeutung der DCT-Koeffizienten 77 DW: Das Verfahren von Cox et. al. Einbettung des Wasserzeichens: Wähle eine Zufallsfolge X = {x i i = 1, } von kleinen Zahlen aus. Dies ist das Wasserzeichen. Transformiere das gesamte Bild (nicht nur 8x8-Blöcke) mittels DCT. Füge in die 1000 wichtigsten DCT-Koeffizienten v i des Bildes das Wasserzeichen nach einer der unten stehenden Vorschriften ein: v i = v i + x i v i = v i (1 + x i ) Wende die inverse DCT-Transformation an

40 DW: Das Verfahren von Cox et. al. Detektion des Wasserzeichens: Transformiere das gesamte, mit Wasserzeichen versehene Bild mittels DCT. Transformiere das gesamte Originalbild (ohne WZ) mittels DCT. Subtrahiere die beiden Koeffizientenmatrizen voneinander, um eine Folge X* zu erhalten. Vergleiche die Ähnlichkeit von X und X* durch Berechnung von X X * Sim( X, X*) = X X * ( bezeichnet die Skalarmultiplikation der beiden Vektoren). 79 DW: Das Verfahren von Cox et. al. Der Ähnlichkeitswert liegt beim Vergleich mit zufällig gewählten WZ nahe Null, beim echten WZ weit darüber. (Vgl. Seitenkanalattacken)

41 DW: Angriffe Idee StirMark: Verzerre das Bild lokal. Fabien A. P. Petitcolas and Ross J. Anderson: Evaluation of copyright marking systems. Proceedings of IEEE Multimedia Systems'99, vol. 1, pp , 7-11 June 1999, Florence, Italy