Erkennen von steganographischen

Transkript

1 Erkennen von steganographischen Magdalena Pejas Der Artikel wurde in der Ausgabe 4/2006 des Magazins Programmieren unter Linux publiziert. Alle Rechte vorbehalten. Kostenlose Vervielfältigung und Verbreiten des Artikels ist nur in unveränderter Form gestattet. Das Programmieren unter Linux Magazin, Wydawnictwo Software, ul. Piaskowa 3, Warschau, Polen

2 Business Development Erkennen von steganographischen Nachrichten Magdalena Pejas Das Wort Steganographie heißt aus dem Griechischen übersetzt soviel wie erborgenes Schreiben. Es handelt sich um ein Wissensgebiet, dass sich mit dem Verstecken von Informationen befasst. Über die Autorin Die Autorin ist Doktorantin am Institut für Elektronik und Informationstechnik der Technischen Universität Warschau, Fachbereich Softwaretechnik. Sie beschäftigt sich mit der Erkennung von steganographischen Nachrichten. Sie interessiert sich auch für Kryptographie. Kontakt mit der Autorin: Bereits im Altertum wurden steganographische Techniken zur geheimen Kommunikation verwendet. Eingesetzt wurden dabei Geheimtinten, Wachs oder Tätowierungen. Während des Zweiten Weltkrieges wurden zum Verbergen von Texten die Mikropunkte verwendet. Die heutigen Informationstechniken sowie die dynamisch steigende Anzahl der Datenformate bieten uns fast unbegrenzte Möglichkeiten zum Verbergen von Daten. Dies ist ein einfacher Weg zum Ausfluss von Informationen aus Unternehmen, unkontrollierten Datenaustausch zwischen verdächtigen Organisationen und ein Hilfsmittel für die organisierte Kriminalität. Dies ist auch ein Nährboden für Software- Piraterie und Hacking. Informationen kann man fast überall verstecken und dadurch auch jede Netzwerksicherung umgehen. In diesem Artikel zeige ich Ihnen die Möglichkeiten der Steganographie und warne Sie vor deren Macht. Um Sie aber nicht zu beunruhigen, präsentiere ich Ihnen auch einige effiziente und unkomplizierte Methoden zum Erkennen von steganographischen Nachrichten. Verstecken von Daten Um Ihnen die breiten Möglichkeiten der Steganographie zu demonstrieren, bespreche ich ein Beispiel mit dem Überschreiten der Datenträgerkapazität. Ich zeige Ihnen, wie groß die in Grafikdateien zu versteckenden Texte sein können und wie geringen Einfluss dies auf die Bildqualität hat. Zunächst schauen wir uns ein Übersichtsschema der beim Verstecken einer Datei durchzuführenden Operationen an. Abbildung 1 zeigt ein einfaches Schema des Versteckens einer meiner Präsentationen über die Steganographie in der Datei Baboon0.bmp mit Hilfe des Programms Hide In Picture 2.0. Die Größe der Präsentationsdatei beträgt nach dem Zippen 5/8 der Größe der Bitmap, in der sie platziert wird. Das Ergebnis des Versteckens ist in Abbildungen 2 und 3 zu sehen. Die erste 60

3 Erkennen von Nachrichten von ihnen zeigt das Bild vor dem Verstecken der Datei, die zweite nach dem Verstecken. Beim Vergleich der beiden Bilder sieht man ein Rauschen, das nur in glatten Bereichen des Bildes auftritt. In solchen Dateien können selbstverständlich auch wichtigere Daten als meine Präsentation über die Steganographie versteckt werden. Man kann sich das Verstecken von Informationen in weniger auffälligen Objekten vorstellen, wie zum Beispiel in der Struktur von ausführbaren Dateien, in großen Textdateien oder auch in ellenlangen Zeilen von weißen Zeichen, die von Webbrowsern ignoriert werden. Solche Informationen können auch in Netzwerkpaketen versteckt werden, zum Beispiel in deren Header-Nummern oder Zeitstempeln. So werden sie von Firewalls nicht entdeckt. Tabelle 1. Die Möglichkeiten der gewählten Steganographieprogramme Programm Versteckte Datei Trägerdatei Sicherungsmethode Courier 1.0 Text von Tastatur bmp Keine Chiffre und Image Hide JPHS for Windows 0.5 Hide In Picture 2.0 Steganography 1.6 WbStego 4.2 Stealth Files 4.0 Abbildung 1. Verstecken einer Datei in einer Bitmap bmp, jpg, gif, tif jpg bmp Bmp, pdf, htm, txt Chiffre mit festem Schlüssel Keine Chiffre, vorhanden Chiffren {Blowfish, Rijndael}, Passwort Verschlüsselung Tabelle 2. Änderungen der Dateilänge Datei Stones Stones1- Stones6 Kanion Kanion1- Kanion4 Herbst Herbst1- Herbst50 Größenbereich [b] Steganalyse die Kunst der Erkennung von steganographischen Nachrichten Damit Sie nicht allzu pessimistisch eingestellt sind, füge ich hinzu, dass ich an der Entwicklung von effizienten Methoden zur Erkennung von mit Hilfe eines beliebigen Steganographieprogramms und in einem beliebigen Dateiformat versteckten Nachrichten arbeite. Es zeigt sich, dass diese Programme nicht perfekt sind und dass alle von ihnen sehr spezifische Methoden nutzen, wodurch sie fast immer auch spezifische Spuren in Dateien hinterlassen sozusagen Fingerabdrücke. Es ist möglich, raffinierte Methoden zur Datenpenetration zu erarbeiten, um solche Spuren zu entdecken. In diesem Fall ist es aber nicht notwendig, die Dateien auf die Anwesenheit von versteckten Informationen hin zu untersuchen, denn erstens kann das Ergebnis durch eventuelle Fehlern der eingesetzten statistischen Methoden beeinträchtigt werden und zweitens sind solche Daten für gewöhnlich sowieso nicht mehr zu entschlüsseln. Das Programm, mit dessen Hilfe Daten versteckt wurden, kann man jedoch auf einfache Weise an den Spuren identifizieren. Zum Aufspüren von steganographischen Nachrichten kann man statistische Methoden einsetzen. Eine dieser Methoden erstellt ein Histogramm der Bildfarben. Das Histogramm stellt die Aufteilung der Pixelfarben im Bild dar, man kann auch sagen, dass für jedes Bild ein einzigartiges Histogramm erstellt wird. Für ein Bild ohne Störungen, Rauschen oder Anomalien kann man ein fast optimales Histogramm erstellen. Als Maß der Störungen wird in diesem Fall die Deformierungsgröße eines Histogramms gegenüber dem idealen Histogramm betrachtet. Ein Beispielhistogramm für die drei Farbanteile ist in Abbildung 4 präsentiert. Abbildung 5 zeigt ein Kontrast-Histogramm, das von einer steganographischen Nachricht deformiert wurde. Mit blauer Farbe ist das Diagramm des Histogramms vor der Modifizierung des Bildes und mit schwarzer Farbe das nach dem Verstecken der steganographischen Nachricht in diesem Bild markiert. Es stellt sich heraus, dass die Nutzung der statistischen Methoden zum Erkennen von steganographischen Nachrichten viele falsche Alarme hervorruft oder zum Ignorieren der versteckten Nachrichten führt. Ich empfehle Ihnen noch eine andere Vorgehensweise für die Steganographie. Diese Methode basiert auf der Voraussetzung, dass Steganographieprogramme Fingerabdrücke in Trägerdaten hinterlassen, und zwar nicht nur im Inhalt der Datei, sondern auch in der Dateistruktur. Die Methode durch Zuschauen Das System zur Untersuchung von Daten auf die Anwesenheit von versteckten Nachrichten besteht aus zwei Teilen: Training und Testing. In der Trainings- Phase wird das anzugreifende Steganographieprogramm sowie eine leere Trägerdatei gewählt. Anschließend wird in die gewählte Datei eine beliebige, mit Hilfe des gewählten Programms verschlüsselte Nachricht eingefügt. Auf diese Weise werden drei Objekte generiert: ein leeres Objekt, ein Objekt mit einmalig versteckten Daten und ein doppelt modifiziertes Objekt. Diese drei 61

4 Business Development Abbildung 2. Die Datei Baboon0.bmp vor dem Verstecken von Daten Abbildung 3. Die Datei Baboon1.bmp nach dem Verstecken der Datei Präsentation2005.zip Objekte werden im weiteren Verlauf der Extraktion von Merkmalen unterzogen. Erst die so erhaltenen Elemente werden miteinander bitweise sowie algebraisch verglichen, wonach die erzielten Differenzen graphisch angezeigt werden. Es zeigt sich, dass eine solche graphische Datenvorschau jede Menge Informationen über die Funktionsweise von vielen auf Daten operierenden Programmen präsentiert. Das ist ein Schlüssel für eine weitere Suche nach Methoden zum Verstecken von steganographischen Nachrichten, die von verschiedenen Steganographieprogrammen verwendet werden. In Abbildung 6 sehen Sie ein Übersichtsschema der Vorverarbeitung von digitalen Objekten. Die Extraktion von Merkmalen besteht im Extrahieren voneigenschaften wie Pixelfarben, Transformationswerten oder Rauscheigenschaften. Im Folgenden sind die Objektmerkmale aufgelistet, die in der Trainings-Phase meist extrahiert werden: Abbildung 6. Vorverarbeitung von Dateien Farbanteile: {R,G,B}(bei Grafiken), Probenwerte (bei Sounds), Transformationen: {FFT, DCT, Wavelet}, Mengenmaße: {Rauschen, Information, Komplexität, Glätte (Kontrast), Zufälligkeit}, Qualitätsmaße: {von Bildern, Sounds}, Fehlerebenen: {der Prädiktion, Approximation}, Bytedaten (Dateistruktur), Subbereiche von Daten: { m[x1 : x2 : y1 : y2 : z1 : z2]}, AND-Bitmasken: {2n 1, 2n}. In Abbildung 7 sehen Sie die Phasen der Objektverarbeitung nach der Extraktion von Merkmalen. Das Schema präsentiert die Berechnung der Differenzen auf den Paaren der digitalen Objekte sowie deren graphischen Vorschau. Die Funktion F comp steht für den Einsatz entweder der algebraischen Differenz oder der Bitverknüpfung. Nach der Identifizierung der Änderungen, die von den Steganographieprogrammen in die Daten eingeführt wurden, können sie implementiert und dann auch in der Wissensdatenbank für den späteren Einsatz in der Testing-Phase des Systems gespeichert werden. Die in Dateien meist vorgenommenen Änderungen können in einige Klassen gruppiert werden: feste Flags, Tags; lokale statistische Anomalien; verdächtige Dateilänge und Dateistruktur; Effekt der wiederholten Kodierung; überschüssige Daten; überschüssiges Rauschen. Abbildung 4. Das Histogramm der Pixelfarben Abbildung 7. Vergleich von Objekten und Visualisierung von Ergebnissen Die Testing-Phase des Systems zeigt sich nicht nur für die Erkennung von versteckten Nachrichten verantwortlich, sondern auch für die Angabe des Programms, mit dessen Hilfe diese kodiert wurden. In Abbildung 5. Das Kontrast-Histogramm für den Blauanteil Abbildung 8. Ein allgemeines Schema der Testing-Phase des Systems 62

5 Erkennen von Nachrichten Abbildung 9. Ein Fingerabdruck des Programms Image Hide Abbildung 10. Ein Fingerabdruck des Programms WbStego 4.2 Abbildung 11. Anomalien StealthFiles Abbildung 12. Anomalien Steganography 1.65 Abbildung 13. Differenz (Stego1, Stego2) dieser Phase wird das digitale Objekt zunächst auf die Anwesenheit von versteckten Flags oder Tags hin untersucht. Im weiteren Verlauf werden Untersuchungen auf die Anwesenheit von lokalen statistischen Anomalien durchgeführt. Sollten diese Untersuchungen erfolglos sein, wird das Objekt einer testweisen Umwandlung mit Hilfe eines beliebigen Steganographieprogramms unterzogen, wonach es auf das Auftreten des Effektes der wiederholten Kodierung getestet wird, und zwar unter Einsatz desselben Steganographieprogramms. Ein allgemeines Schema dieser Testphase ist in Abbildung 8 zu sehen. Die Funktion F dist steht für die Berechnung des algebraischen Abstandes der mehrdimensionalen Vektoren für die Merkmale der untersuchten Objekte. Die Entscheidung darüber, ob das Objekt eine versteckte Nachricht enthält oder nicht, wird anhand der genannten Abstände getroffen. Beispiele für die erkannten Flags, die von gewählten Steganographieprogrammen eingefügt wurden, sowie eine Implementierung der Tests zu deren Erkennung werden an einer anderen Stelle dieses Artikels besprochen. Erkannte Fingerabdrücke Am einfachsten zu erkennen sind die festen Tags, die sich in einem strikt bestimmten Dateibereich befinden. Unabhängig von der Länge der versteckten Daten sind diese Tags ein eindeutiger Nachweis für die Anwesenheit einer versteckten Nachricht. Das Programm Courier 1.0 beispielsweise kodiert einen Tag in den niederwertigsten Bits der zweiten Zeile des Bildes. Die gesetzten Bits haben die Form von wechselweise stehenden Nullen und Einsen. Ein anderes Programm Image Hide setzt seinen Tag in den ersten zwanzig Bytes des Bildes. Bis auf die zwei mittleren Bits, die zur Einstellung der internen Parameter des Programms dienen, werden die niederwertigsten Bits dieser Bytes auf Null gesetzt. Die Vorschau dieses Tags zeigt Abbildung 9. Das dritte Programm dieser Klasse WbStego 4.2 setzt ein Flag an das Dateiende, und genauer gesagt vor den Block der eingebetteten Daten. Das Flag besteht aus einer Folge von Bits, die nach einem spezifischen Muster gestellt sind. Nach der Untersuchung von mehreren Dateien stellt sich heraus, dass dieses Muster unverändert bleibt und dass es lediglich für dieses Programm charakteristisch ist. Dieses Muster ist in Abbildung 15 gezeigt. Abbildung 9 zeigt 18 Zeilen. Zeilen 1,7,13 repräsentieren eine bestimmte Bytesequenz des Bildes vor der Modifizierung und die restlichen Zeilen gelten für das Bild nach der Modifizierung mit Hilfe des Programms Image Hide. Zeilen 1 bis 6 entsprechen dem Rotanteil, Zeilen 2 bis 12 dem Grünanteil und die restlichen Zeilen dem Blauanteil. In Abbildung 10 sind in der ersten Zeile die Bytes des Bildes vor der Modifizierung präsentiert und in den fünf weiteren Zeilen Abbildung 14. Differenz (Cover, Stego) Hilfsfunktionen Einlesen der zu untersuchenden Daten Einlesen von Bildern aus den indizierten Dateien mit den Namen Datei<ind,,ind+n>.ext m _ set=readfiles(file,ext,n,in _ start); Byte-für-Byte-Einlesen der Datei s=dataload(file); Berechnen von zweidimensionalen (oder eindimensionalen) Transformationen FFT mfft=fft2(m); DCT mdct=dst2(m); Selektion von Subbereichen des Bildes Farbanteil c des Bildes aus dem n- ten Bild m = m _ set(:,:,c,n); Bitmaske b = bitand(abs(m),mask); Subbereich der Datei mit dem Bereich <x0-x1 x0 x0+x2> t1 = s(x0-x1 : x0+x2); Berechnen der Differenz der algebraischen Differenz d12=m _ set(:,:,:,1) m _ set(:,:,:,2); der Bitdifferenz b12= m _ set(:,:,:,1) & m _ set(:,:,:,2); Visuelle Vorschau von Zahlenmatrizen imagesc(m(:,:)); 63

6 Business Development die ihnen entsprechenden Bytes aus den Dateien, die mit Hilfe des Programms Wb- Stego 4.2 verändert wurden. Die oben präsentierten Beispiele sind am einfachsten zu erkennen. Eine weitere Gruppe bilden die Programme, von denen Daten in Subbereichen der Dateistruktur versteckt werden. Es stellt sich heraus, dass diese Programme Daten mit einer etwas anderen Charakteristik hinzufügen als die für Dateien typische Bytes. Die Diagramme in Abbildungen 11 und 12 zeigen die Anomalien Listing 1. Berechnen der Standardstatistiken am Berührungspunkt Dateiende Anfang des Blocks der versteckten Daten. Abbildung 11 zeigt eine Statistik des mit dem Programm StealthFiles modifizierten Fragments der Datei. Auf der waagerechten Achse stehen die Nummern der darauffolgenden Bytes und auf der senkrechten Achse deren Werte. Ein weiteres Beispiel für die Anomalien zeigt Abbildung 11. Es handelt sich nämlich um die Anomalien, die durch Modifizierung mit dem Programm Steganography 1.65 entstanden sind. stat=getstat(v); h = hist(v,255); %Festsetzen der Verteilung der Werte des Vektors v des Histogramms s=sum(h); %Summe der Vektorelemente l=size(h); %Vektorlänge mn=min(h); %minimales Element mx=max(h); %minimales Element e=s/l; %Durchschnittswert st = std(h); %Standardabweichung d=h-e; V=sqrt(sum(d.*d))/l; %Varianz SNR=10*log10(sum(d.*d)/sum(v.*v) ); %Signal/Rauschen-Verhältnis stat=[e st mn mx V SNR] Listing 2. Festsetzen der Glätte eines Datenbereiches ret=smoothness(m) [M N]=size(m); s=0; for x=2:1:m-1 for y=2:1:n-1 d=9*m(x,y)-sum2d(m(x-1:x+1,y-1:y+1)); s=s+d; end end ret=s/(m*n); Listing 3. Suche nach versteckten Flags ret=findpattern(m) pattern=[ ]; s=size(pattern); m=m_set(2,1:s,2,2); %Extrahieren des verdächtigen Subbereiches des Bildes flag=(sum (pattern & m) == s); %Bedingung der Vektoridentität ret=flag; Listing 4. Suche nach Anomalien in einer Datei ret=checkfile(file,threshold); s=dataload(file); l=length(s); v = s(l-x : l); %Bytes vom Dateiende mn=min(v); %minimales Element mx=max(v); %minimales Element e=s/l; %Durchschnittswert st = std(v); %Standardabweichung stat=[mn mx e st]; flag=(stat<=treshold) %Vergleich der Schwellenwerte mit dem Vektor ret=flag; Des Weiteren hat sich gezeigt, dass das Programm Steganography einen spezifischen, 42 Byte langen Code am Dateiende hinzufügt. Dieser Code ist sowohl vom Typ des modifizierten Bildes als auch von Anzahl der Modifizierungen derselben Datei unabhängig. Ein weiterer Typ der Anomalien, die im Datensubbereich auftreten, ist das Ergebnis der Platzierung von Daten in *.htmlund *.txt-dateien mit Hilfe des Programms WbStego 4.2. Nach jeder Zeile des Klartextes werden vom Steganographieprogramms einige Folgen von weißen Zeichen eingefügt. Diese können mit Hilfe von statistischen Tests erkannt werden, denn Folgen von weißen Zeichen unterscheiden sich erheblich von Folgen von alphanumerischen Zeichen in Bezug auf deren Charakteristika. Eine weitere und auch schwierigere Untergruppe der Steganographieprogramme stellen diejenigen dar, von denen Statistiken des gesamten Bildes verändert werden. Allerdings werden von diesen Programmen weder Tags gesetzt noch lokale Anomalien verursacht. Die auf diese Weise versteckten Nachrichten kann man mit Hilfe von Knowledge-Discovery-Methoden aufspüren. Zunächst muss man jedoch dem System beibringen, wie bestimmte Datenbereiche von den einzelnen Programmen modifiziert werden. Beispiele für schwer zu knackende Programme sind Hide In Picture 2.0 und Cloak 0.5. Diese Programme verursachen Steganographieprogramme zum Download Im Internet steht Ihnen eine Vielzahl an Steganographieprogrammen zur Verfügung. Sie sind kostenlos in Demo- oder Testversionen erhältlich. Die meisten dieser Programme ermöglichen es Ihnen, Dateien in einem beliebigen (Text, Grafik, Sound) in Grafikdateien zu verstecken. Der Anteil dieser Daten beträgt ca. 15% der Originaldaten. Sollte beispielsweise eine Information in einem Bild, nämlich in jedem Farbpixel auf dem niederwertigsten Bit für jeden Farbanteil versteckt sein, so ist der Träger der versteckten Daten etwa 1/8=12,5% groß. Die so versteckten Daten sind weder für das menschliche Auge noch für Programme zur Ermittlung von Bildanomalien erkennbar. In Tabelle 1 habe ich einige Eigenschaften der gewählten, im Internet verfügbaren Steganographieprogramme aufgelistet. 64

7 Erkennen von Nachrichten keine eindeutigen statistischen Anomalien. Daher wurde ein Angriffsversuch durch wiederholtes Verstecken von Daten unternommen. Zu diesem Zweck wurden aus dem Trägerbild zwei Bilder abgeleitet: das erste von ihnen wurde einmal modifiziert und das zweite zweimal. Anschließend wurden graphisch algebraische Differenzen zwischen den Bitmasken 2n-1 folgender Paare angezeigt: Originalbild, das modifizierte Bild (Cover, Stego); das einmalig modifizierte Bild, das doppelt modifizierte Bild (Stego1, Stego2). Basisoperationen auf Vektoren Summe der Vektorelemente s=sum(v); Durchschnittswert e=s/length(v); Modul bestehend aus der Differenz des Vektors und dessen Durchschnittswertes d=abs(v-e); Multiplizieren der Vektoren V3=V1.*V2; Transponieren des Vektors V t=v ; In Abbildungen 13 und 14 sind die erzielten Ergebnisse präsentiert. Der Hintergrund der ersten Vorschau unterscheidet sich erheblich von dem der zweiten Vorschau. Das liegt daran, dass in der ersten Vorschau ein Rauschen mit einer geringen Amplitude dargestellt wird, die zweite Vorschau dagegen ist ein einheitlicher Hintergrund mit einzelnen Dateien mit einer großen Amplitude. Daraus ergibt sich, dass die zwei modifizierten Bilder sich voneinander nur durch das Rauschen unterscheiden, wobei das modifizierte Bild vom Originalbild stark abweicht. Das Experiment wurde mit verschiedenen Dateien wiederholt, allerdings waren die erhaltenen Ergebnisse sehr ähnlich. Eine ähnliche Angriffsmethode durch testweises Einfügen einer Nachricht wurde zum Erkennen der mit Hilfe des Programms JPHS for Win 0.5 versteckten Nachrichten eingesetzt. Es hat sich herausgestellt, dass dieses Programm die Dateilänge ändert und festlegt. Tabelle 2 zeigt die Größen der untersuchten Dateien vor und nach dem Verstecken von Daten mit Hilfe des Programms JPHS for Win 0.5. Die Dateien mit den Indizes 0 sind die Originaldateien und die mit 1 oder höher indizierten Dateien wurden mit einem Steganographieprogramm modifiziert. Durch Beobachtung der Dateilängen erhalten wir in diesem Fall einen guten Klassifizierungseffekt auf die Anwesenheit von versteckten Nachrichten. Die präsentierten Änderungen kann man der Änderung der Dateistruktur zuweisen. Jedes der Programme besitzt eine eigene interne Implementation des Dateiformats daraus entwickelte sich die Idee für eine weitere Methode zum Entlarven der Steganographieprogramme nach ihren eigenen Merkmalen. Implementation der Erkennung von Spuren der versteckten Nachrichten Die oben besprochenen Angriffe wurden mit Hilfe des speziellen Werkzeuges für mathematische Berechnungen namens Matlab implementiert. Dieses Werkzeug ermöglicht es Ihnen, komplexe, durch einfache Anweisungen aufgerufene Berechnungen durchzuführen. Die implementierten Funktionen wurden in einige Klassen gegliedert: Einlesen von Daten; Vorverarbeitung von Daten; Auswahl von Subbereichen; Graphische Vorschau; Suche nach Flags und Tags; Suche nach Anomalien; Berechnung von Standardstatistiken. Zur Implementierung der Angriffe wurden die Funktionen genutzt, die es ermöglichen, mathematische Operationen auf mehrdimensionalen Matrizen durchzuführen und Standardstatistiken zu berechnen. Einige komplexere Funktionen wurden von der Autorin des Artikels implementiert. Sie dienen zur Durchführung von Operationen auf Daten wie Einlesen von Daten oder Berechnen von spezialisierteren Statistiken. Die Basisfunktionen, die zur Durchführung der Angriffe eingesetzt wurden, sind im Kasten Hilfsfunktionen aufgelistet. Das Werkzeug, mit dessen Hilfe die Angriffe durchgeführt wurden, erlaubt es Ihnen, komplexe Operationen auf Matrizen und Vektoren in einzeiligen Anweisungen durchzuführen. Das ist eine riesige Erleichterung. Diese Operationen sehen Sie im Kasten Basisoperationen auf Vektoren. Statistiken, die man schnell mit Hilfe des präsentierten Werkzeuges berechnen kann, sind in Listing 1 gezeigt. Listing 2 zeigt die Funktion zur Berechnung der Glätte eines zweidimensionalen Datenbereiches. Dies ermöglicht uns die Erkennung von Anomalien wie Dateien, die sich in Bezug auf das Rauschen auszeichnen. Beispielangriffe sind in weiteren Listings dargestellt. Listing 3 zeigt die Funktion, die zur Suche nach konkreten Flags, Tags und Mustern in Datenmatrizen dient. Die Zielbibliothek wird aus einer Sammlung von Vektoren, Flags und Mustern bestehen, die in Subbereichen der Bilder gesucht werden. In Listing 4 ist ein Beispielangriff präsentiert, der Anomalien erkennen soll, nachdem testweise eine Nachricht mit Hilfe eines Programms in der Art StealthFiles eingefügt wurde. Dieser Angriff basiert auf der Festsetzung der Amplitude und der Standardabweichung des gewählten Subbereiches der Datei. Zusammenfasung Ziel dieses Artikels sollte sein, eine neue Vorgehensweise für das Verstecken von steganographischen Nachrichten zu präsentieren. Ein Großteil der Interessierten konzentrieren ihre Aufmerksamkeit auf die statistische Untersuchung einer Nachricht als Ganzen. Mittlerweile gibt es auch eine Methode der qualitativen Analyse von Programmen, die nicht immer perfekt sind. Diese Vorgehensweise hat einige Vor- und Nachteile. Zu den Nachteilen gehören die Erzwingung der Interaktivität mit dem Benutzer in der Lernphase des Systems und die Beschränkung seines Operationsfeldes auf eine Sammlung der zuvor untersuchten Steganographieprogramme in der Testing-Phase. Zu den Vorteilen dieser Methode gehören: eine hohe Anpassungsfähigkeit des Systems an neue Datentypen oder Steganographieprogramme, inklusive Black-Box- Programme, sowie die Erkennung von Nachrichten beliebiger Länge mit der Möglichkeit der Bestimmung, mit welchem Programm die Nachrichten versteckt wurden, und dies unter Aufrechterhaltung einer niedrigen Klassifikationsfehlerrate. Auf der Heft-CD finden Sie Skripte zum Einlesen und Extrahieren von Merkmalen digitaler Daten, sowie für die Vorschau und statistische Analysen mit Hilfe des Programms Matlab. 65