Studio e sviluppo di un algoritmo per l’implementazione del

“Triangle

Test”

in uno scenario applicativo di Image

Forensics

Andrea Novi

Relatori:Prof. Fabrizio ArgentiDr. Roberto CaldelliDr. Irene AmeriniFirenze, 29/04/2011

Sommario

Image

Forensics Forensic

Security

Triangle

Test Risultati Conclusioni

Multimedia ForensicsDefinizione

Scienza che analizza il dato multimediale (video, audio o immagine) per trarre da esso delle evidenze significative, connesse alla scena rappresentata, al fine di rendere possibile e sostenere un'investigazione.

Image

ForensicsImage

Forensics

Source Identification• ha il

compito

di

identificare

il

particolare

dispositivo

elettronico

che

ha acquisito

la prova

multimediale

sotto esame.– Tipo di dispositivo (es. scanner/fotocamera)– Marca e modello (es. Canon, Nikon, Pentax)– Dispositivo specifico (es. Canon 40D del mio amico)

Image Forensics

Image ForensicsForgery

detection

• ha il

compito

di

rilevare

manomissioni

o contraffazioni che

hanno

compromesso

l'integrità

del dato

in esame.

Forensic Security• Diffusione delle tecniche di Image

Forensics

• Attacchi sempre più

sofisticati e mirati• Bisogno di garantire maggiore sicurezza

• Studia le tecniche di attacco alla Image

Forensics• Adotta misure tese ad assicurare una maggiore robustezza agli algoritmi.

Forensic

SecurityForensic

Security

Source IdentificationObiettivo• Risalire alla fotocamera digitale che ha acquisito una data immagine.• Individuare un fingerprint

che la fotocamera ha lasciato sull'immagine scattata, che

permetta la sua identificazione.

PRNU (Photo-Response

Non-Uniformity)• Distorsione sistematica

delle intensità

dei pixel del sensore dovuto ad anomalie nel

processo di fabbricazione dei wafer di silicio• Caratteristica esclusiva del sensore• Si presenta sempre nella stessa posizione in ogni immagine scattata• E’

creato a partire da un certo numero di immagini scattate dalla fotocamera stessa

PRNUPRNU

Source IdentificationMetodo di estrazione del PRNU

Filtro di Mihçak*• Lavora nel dominio Wavelet

Rumore residuo

• Contiene ancora qualche residuo della scena fotografata

PRNU stimato• fingerprint

di riferimento

della fotocamera digitale

Source IdentificationFunzionamento

– Si controlla all’interno dell’immagine sotto esame la presenza del fingerprint

attraverso il calcolo della correlazione (J.Fridrich*) fra il

rumore residuo e il fingerprint

della macchina digitale

J. Lukas, J. Fridrich, M. Goljan, “Digital

camera identification

from

sensor

pattern noise”, TIFS 2006.

Obiettivo• Falsificare la sorgente di acquisizione dell’immagine*

Scenario di Attacco

• La vittima (Alice)

possiede una propria fotocamera C.

• L’attaccante

Eve

vuole incastrare Alice prendendo un’immagine J da un’altra fotocamera

C’

e facendola apparire come se fosse stata scattata

dalla fotocamera C di Alice.• Eve

dopo aver falsificato l’immagine distrugge la propria fotocamera C’

e l’

immagine J.

Attacco alla Source Identification

* Miroslav

Goljan, Jessica Fridrich, and Mo Chen, “Sensor

noise

camera identification: Countering counter-forensics,”in SPIE Conference on Media Forensics and Security, 2010.

Filtro di MihcakFiltro di MihcakImmagini rubateda Eve

Immagini rubateda Eve

J’JNikon L19Samsung S860

+

Attacco alla Source Identification

FORGED

Modello moltiplicativo• Il PRNU viene aggiunto moltiplicandolo per l’immagine• Nasconde meglio il rumore

Samsung S860

Scenario di difesaDifesa di Alice• Alice dispone di un set di Ns

immagini, fra le quali sospetta che ci sia almeno una delle immagini che Eve

le ha sottratto.

• Ha pieno accesso alla propria macchina fotografica C.• Esegue l’algoritmo del Triangle

Test

Obiettivo• Determinare se l’immagine sotto esame è

stata contraffatta.

• Determinare quali immagini sono state rubate

Triangle Test

FORGED

TriangleTriangleTestTest

Usata da Eve

Non usata da Eve

Immagini Flat• immagini omogenee • stima migliore del PRNU (mancanza di contenuto)

Algoritmo• Alice

si calcola le seguenti correlazioni:

• Per immagini I che non sono state usate da Eve

il valore di cI,J’

sarà pressoché

uguale a quello stimato

• Altrimenti se I appartiene ad una delle immagini che ha usato Eve

la correlazione cI,J’

risulterà

maggiore di quella stimata.• Perché

WI è

presente interamente in WJ’

in maniera scalata attraverso la stima MLE del PRNU.

Triangle Test

Mutual

Content

Factor• tiene conto delle variazioni del contenuto• correlazioni sui sottoblocchi dell’immagine

Fattore di qualità

del fingerprint

di Alice

Algoritmo• La dipendenza fra e per immagini I non usate

da Eve

è pressoché lineare• Alice stima l’andamento della retta con NI

immagini innocenti • Alice determina

la soglia

utilizzando il criterio di Neyman-Pearson, imponendo

la probabilità

di falso alarme

PFA

=10-3.

Triangle Test

Legenda• Le croci blu

sono le immagini usate per stimare l’andamento della retta

• I rombi rossi

sono le immagini innocenti del set di Alice.

• I cerchi verdi

sono le immagini rubateda Eve

contenute nel set di Alice

Analisi delle azioni dell’attaccante

Possibili Scenari• Tipo di immagini che Eve

potrebbe scegliere

• Numero di immagini che Eve

può rubare• Modello additivo o moltiplicativo• Uso o meno della funzione di Enhancer

per la stima del fingerprint

Numero di immagini rubate:• 20• 50

Numero di immagini rubate:• 20• 50

Tipo di immagini rubate: • tessiturate• flat

(omogenee)

Tipo di immagini rubate: • tessiturate• flat

(omogenee)

Stima del fingerprint:• Denoising• Denoising

con Enhancer

Stima del fingerprint:• Denoising• Denoising

con Enhancer

Metodo di inserimento del rumore• Moltiplicativo• Additivo

Metodo di inserimento del rumore• Moltiplicativo• Additivo

Funzione di Enhancer• Utilizzo di una funzione di enhancement

del rumore

– Esalta

il

rumore

estratto, eliminando

i dettagli

della

scena

ritratta.– E’

applicato nel dominio della trasformata Wavelet

dopo l’estrazione

del rumore.

Risultati

Samsung S860

Samsung L85Samsung S860 Nikon L19

Immagini di Alice• Il set di Alice è composto da

50 immagini

innocenti e da quelle rubate da Eve.

• Per la stima del coefficiente angolare della retta Alice usa 130 immagini innocenti.

• Per la stima del PRNU Alice utilizza 20 immagini omogenee.

Immagini di Alice• Il set di Alice è composto da

50 immagini

innocenti e da quelle rubate da Eve.

• Per la stima del coefficiente angolare della retta Alice usa 130 immagini innocenti.

• Per la stima del PRNU Alice utilizza 20 immagini omogenee.

Risultati: stima del fingerprint

• Metodo Moltiplicativo • Eve

ruba 20 immagini tessiturate• Metodo Moltiplicativo • Eve

ruba 20 immagini tessiturate

Eve

non usa l’Enhancer

Eve

usa l’Enhancer

Risultati: modello additivo

• Modello Additivo• Eve

ruba 20 immagini tessiturate• Modello Additivo• Eve

ruba 20 immagini tessiturate

Eve

non usa l’Enhancer

Eve

usa l’Enhancer

Risultati: immagini flat

• Metodo Moltiplicativo • Eve

ruba 20 immagini flat• Metodo Moltiplicativo • Eve

ruba 20 immagini flat

Eve

non usa l’Enhancer

Eve

usa l’Enhancer

Risultati: numerosità immagini rubate

• Metodo Moltiplicativo • Eve

ruba 50 immagini tessiturate• Metodo Moltiplicativo • Eve

ruba 50 immagini tessiturate

Eve

non usa l’Enhancer

Eve

usa l’Enhancer

Conclusioni e sviluppi futuriConclusioni• Forensic

Security

• Falsificazione della sorgente di acquisizione• Triangle

Test

• Analisi delle azioni dell’attaccante

Sviluppi futuri• Migliorare la stima del fingerprint• Possibili azioni di difesa di Alice

Studio e sviluppo di un algoritmo per l’implementazione del

“Triangle

Test”

in uno scenario applicativo di Image

Forensics

Andrea Novi

Relatori:Prof. Fabrizio ArgentiDr. Roberto CaldelliDr. Irene AmeriniFirenze, 29/04/2011