可证安全的数字水印方案.doc

第9期袁征：可证安全的数字水印方案97可证安全的数字水印方案袁征1,2,3 （1. 北京电子科技学院 信息安全系，北京 100070；2.清华大学 高等研究中心, 北京100084；3. 中国科学院 数学机械化重点实验室，北京 100080）摘 要：应用水印、密码学和编码技术，提出了一个可证安全的数字水印方案，包括嵌入水印方案和提取验证水印方案。方案中水印包含了身份标识（ID）、作品描述和水印密钥，便于认证和身份鉴别，方案具有较高的安全性可以抵抗目前所有的水印协议攻击，并用RO模型证明其安全性，特别是提供了独特的验证纠正恢复能力，具有很好的性能。关键词：数字作品版权保护；水印方案；水印协议攻击；可证安全性；RO模型中图分类号：TP309 文献标识码：B 文章编号：1000-436X(2008)09-0091-06Provable secure digital watermarking schemeYUAN Zheng1,2,3(1. Department of Information Security, Beijing Electronic Science and Technology Institute, Beijing 100070, China; 2. Center for Advanced Study, Tsinghua University, Beijing 100084, China; 3. Key Laboratory of Mathematics Mechanization, Chinese Academy of Sciences, Beijing100080,China)Abstract: A novel provable security watermarking scheme was presented by adopting the digital watermarking technology, cryptology and encode method, it comprises embedding watermarks scheme and detecting watermarks scheme. The participant ID, Hash of the digital work and watermarking keys are regarded as the watermarks in the scheme, so that the watermarks can be used to authenticate lawful user and judge the ownership. The scheme has rigorously security almost against all watermarks protocol attacks. Especially, it has correct ability, as so as higher efficiency.Key words: DRM; watermarking scheme；watermarking protocol attack; provable security; RO mode1 引言收稿日期：2006-09-13；修回日期：2008-08-15基金项目：国家重点基础研究发展计划（“973”计划）基金资助项目（2007CB807902, 2007CB807903）；中国博士后科学基金资助项目(20080430423)；北京电子科技学院工程课题（06五系JAVA）；北京市高等学校教育改革立项项目加强密码学课程体系改革,培养信息安全专门人才(2004)Foundation Items: The National Basic Research Program of China (973 Program) (2007CB807902, 2007CB807903); China Postdoctoral Science Foundation Funded Project(20080430423); Project of Beijing Electronic Science Technology Institute (Java 2006); Education Innovation Foundation of Institution and University of Beijing(2004)随着网络通信技术的发展，数字作品的网上传输和交易日益频繁，由于具有易被拷贝、分发、盗用和篡改的特点，使数字作品的版权保护问题日趋严重。尤其是对等（peer-to-peer）网络技术的发展和应用，使数字作品的版权保护问题更加突出1。版权所有者最早使用密码技术保护自己的作品，在发送之前加密内容，把密钥给了那些购买了作品的合法用户，这样盗版者即使获得了加密后的作品，也无法使用。但是密码技术只能保护传输中的内容，而作品一旦被解密就不再有保护作用。因此迫切需要一种替代或补充技术，在解密后仍能够保护作品。而水印技术2能把信息隐藏在数字作品中，可以防止非法拷贝、还可以认证作品、鉴别所有者、跟踪操作等，所以水印技术越来越受到学术研究和商业机构的重视。设计水印方案应能满足以下条件。顽健性：指合法用户正常使用嵌入水印的数字作品时，水印仍然存在，也就是说水印方案要有抵抗常规处理的特性，如抵抗剪切、滤波、加噪、有损压缩、可接受保真度处理等。安全性：指水印方案有抵抗蓄意篡改的能力，常见的蓄意攻击有：未经授权的加载攻击（或称伪造攻击）、未经授权的检测攻击（或称被动攻击）、未经授权的去除攻击和系统攻击等水印协议攻击。这4种攻击的具体内容是：未经授权的加载攻击有完整的和不完整的2类，完整的未经授权的加载攻击是敌手必须对原始信息进行编辑和嵌入。不完整的未经授权的加载攻击是敌手设法获得预先编辑好的合法信息（而不是自己编辑信息），并且将此信息非法地嵌入到作品中去，通常敌手不需要了解信息的编码方法。未经授权的检测攻击有3种：第一种是敌手完全解码，可以解读出水印的具体含义；第二种是敌手只需要知道水印是否存在，而不需要知道水印编码的具体信息；第三种是介于完全解码和仅仅检测水印是否存在两者之间，敌手可以区分对不同水印信息进行编码的不同标志（即使不知道信息内容），也就是说给定2个已加入水印的作品，敌手可以确切说出这2个作品各自的标志是对相同的信息还是对不同的信息进行编码。未经授权的去除攻击包括2种，一种是敌手成功去除了作品中的水印，另一种是敌手对水印信息进行了掩盖，水印依然存在，但只能被比正在使用的检测器更完善的检测器检测出来。系统攻击是利用水印使用过程中的弱点进行攻击，而不是水印本身的弱点如拷贝攻击、歧义攻击等。性能：主要指水印方案具有认证作品，签别所有者，保持和验证作品的完整性，同时还能保证作品受到衰减后仍然能认证作品，签别所有者等性能。目前关于抗水印协议攻击的安全数字水印方案的文献较少，现有的方案还有一些不足，如文献3的方案签名信息没有求散列，又用2个签名作为水印，嵌入水印信息多，方案的顽健性就会减弱；文献4的方案不能抵抗共谋攻击；文献5的方案将水印信息的图像进行Turbo 编码嵌入图像中，然后通过Turbo 解码密钥恢复水印和载体图像，该方案只适用于图像；文献6研究了允许公开检测条件下不被非法删除或修改的数字水印方案，这些方案没有考虑共谋攻击和拷贝攻击等问题；文献7的方案不能抵抗共谋攻击和未经授权的检测攻击。文献8研究了抵抗共谋攻击方法，但没有考虑去除攻击等问题；文献9提出了抗可逆性攻击水印方案，但没有考虑共谋攻击等问题；文献10对文献9的水印方案进行了改进，并用了可证明健忘选择证明其改进方案的顽健性，但是该方案也没有考虑共谋攻击等问题。本文综合考虑了设计水印方案应满足的条件，提出了一种可证安全的数字水印方案，方案中根据数字作品的类型和特点，选取适当的顽健性非对称密钥水印算法，保证了方案的顽健性。方案中把作者、版权管理机构、加载验证中心和购买者等有关实体的ID、作品的杂凑值和水印密钥作为水印信息，结合了密码学知识和编码知识，保证了数字水印方案的安全，提高了方案的性能。本文用可证安全性理论11和随机预言(RO)模型方法12证明了该水印方案的安全性，该水印方案可以抵抗目前所有的水印协议攻击，尤其是方案具有很好的纠正恢复能力。2 可证安全数字水印方案为了描述方便，设定下列符号。：数字作品数字作品的版权信息；：有合法版权信息的数字作品有伪造版权信息的数字作品；：身份标识，X指某个通信实体或某个对象，如作者A的身份标识、版权管理机构R的身份标识、加载验证中心T的身份标识、购买者B身份标识等；另外用表示作品惟一标识号；：任选的一个安全杂凑函数；：一个安全的加密算法解密算法；：公钥/私钥对，X指某个通信实体或某个对象，如作者A的公钥/私钥对；/：某个通信实体或某个对象X进行签名和验证，其中签名后信息长度为n;/：二进制安全编码运算/解码运算；：嵌入数字水印的密钥提取数字水印的密钥。2.1 提取嵌入水印方案不失一般性，假设作者A创作数字作品后，在版权管理机构R注册，由版权管理机构负责管理数字作品，由加载验证水印中心T负责嵌入和验证水印信息。该数字水印方案的嵌入数字水印过程如下。1) 作者A将作品作者信息签名后，传给加载验证水印中心T。(1)2) 加载验证水印中心T验证正确后，从数字水印候选算法库中选取一个有效的顽健性非对称密钥水印算法(包括Embed算法和Detect算法)，选择嵌入水印密钥及提取水印密钥，并计算水印数据，然后将加密成密文。(2)(3) (4)其中:没有购买者B时：；有购买者B时：。3) 加载验证水印中心T在数字作品中嵌入水印密文，即(5)2.2 提取验证水印方案提取验证水印方案包括验证水印信息、验证数字签名、验证身份标识信息、验证作品作者信息和嵌入提取验证数字水印的密钥/。1) 加载验证水印中心T用提取水印算法Detect和密钥从作品中提取出水印密文，解密得到水印信息，然后与备份数据库中保存值比较，若相同，就认为正确。(6)(7)2) 令的长度， 的长度。加载验证水印中心T取的前位，解码。(8)3) 若加载验证水印中心T验证正确，即：，则接受 ，并认为正确，然后从备份数据库中找出、，验证并计算正确，该作品合法，结束。4) 若加载验证水印中心T验证不正确，即：，则比较签名和安全编码中2个的描述，先分别验证其中包含的、和是否相同。例如在比较时，对2个描述中进行模糊比较，计算2个描述之间的相关性并将其一与某一阈值做比较，模糊匹配，就认为相同。同理，若、和都模糊匹配，重新计算，这可能会与签名中的值不同，但证明签名有效，该作品合法，结束。若2个的描述中、和至少有一对模糊不匹配，则签名无效，该作品是赝品，结束。3 安全性分析3.1 共谋攻击的安全性8不同的购买者有不同的身份标识，所以式(3)中的可以不同，也就是说该方案给同一作品嵌入水印，可能产生不同的水印信息，假设有个包含不同水印信息的数字作品,，若敌手获得这个作品，或者拥有这个作品的人实行共谋攻击，获取原始数字作品的精确近似，最简单的方法可能是计算这个作品的平均，即(9)由式(3)得：该水印方案中水印信息中包含共谋安全码13，使这个作品中嵌入了一个独特的安全码字，也包含安全码信息，从中可以至少识别一个共谋者，所以该方案是抗共谋攻击的。3.2 未经授权检测攻击的安全性根据Kerckhoff假设，任何人都可以知道水印嵌入算法Embed和提取算法Detect，进行公开检测。若敌手公开检测时得到了水印信息的密文，由式(7)可知：敌手没有加载验证水印中心T的私钥，不能得到水印信息及其包含的内容，所以该方案是抗未经授权的检测攻击的。3.3 未经授权加载攻击的安全性定义1 敌手用拷贝攻击方法CA14攻击文中嵌入水印方案(WT)的优势为：时间内，从有水印数据的数字作品中成功拷贝了水印数据的密文，并嵌入到数字作品中，使加载验证水印中心T可以从数字作品中正确提取出的概率，即(10)命题1 存在敌手可以对本文的方案用拷贝攻击获得成功，则可以构造一个伪造者在成功攻击签名方案，其中(11)证明 令任意为证明使用的密钥对。若可以用拷贝攻击方法攻击该方案，则可以构造签名方案的伪造者，身份标识，假设知道水印算法和编码运算，则：运行系统参数，产生长的嵌入水印密钥和提取水印密钥，运行时间；产生2个长度相同为的不同数据作品和，运行时间2。 任取，用进行随机RO模型询问后，得到和，再进行RO模型签名询问，运行时间。伪造加载验证中心T对 的签名，运行时间忽略不计。计算水印数据 ，并用T的公钥加密得密文，运行时间。由式(5)在中嵌入密文得：，运行时间。进行拷贝攻击：从中拷贝密文，嵌入到作品中，得: ，进行拷贝攻击时间为。情况1 攻击失败，加载验证中心T不能从中提取密文或验证签名不正确，结束。情况2 攻击成功，加载验证中心T用式(6)从中提取得到水印数据密文，用式(7)解密得到水印数据，并验证签名正确，最后T正确输出，运行时间为。因此，可以用在时间 内成功伪造了T的签名，伪造成功的优势就是拷贝攻击成功的优势。给定签名方案是不可伪造的，所以该方案是抗拷贝攻击的。除敌手外，作者、版权管理机构和合法购买者也不能将合法的水印数据嵌入到其他数字作品中拷贝攻击。3.4 系统攻击的安全性定义2 敌手用歧义方法ABMI15攻击本文的方案(WT)的优势为：时间内，伪造水印数据并用计算其密文，使加载验证水印中心T从根本没有嵌入水印密文的数字作品中，提取出并验证正确的概率，即(12)命题2 若存在敌手可以用歧义方法成功攻击本文的方案，则敌手可以成功攻击签名方案，其中(13)证明 令任意为证明使用的密钥对，敌手身份标识，假设知道水印算法和编码运算，收到合法的数据作品也知道其作者F，若可以用歧义方法攻击该方案，则可以伪造作品的水印数据，也可以伪造签名方案，具体过程如下。1) 运行系统参数，产生长的水印密钥和，运行时间。 2) 任取，用进行随机RO模型询问后，得到和，再进行RO模型签名询问，运行时间。3) 伪造加载验证中心T对 的签名，运行时间忽略不计。4) 伪造水印数据 ，并用加密得，运行时间。5) 进行歧义攻击，使加载验证中心T从没有嵌入的作品中，可以验证出，即:，歧义攻击时间为。情况1 攻击失败，加载验证中心T验证中没有正确，结束。情况2 攻击成功，加载验证中心T用式(6)和式(7)得到水印数据，并验证签名正确，最后正确输出，运行时间为。因此，可以用在时间内成功伪造了T的签名，伪造成功的优势就是歧义攻击成功的优势。 给定签名方案是不可伪造的，所以该方案是抗歧义攻击的。推论 根据命题2，又由于水印数据中的信息需要计算散列值，而散列是不可逆的，所以本文的方案可以抵抗可逆性攻击9。3.5 未经授权去除攻击的安全性本文的方案选取了非对称密钥水印算法，采用不同的嵌入数字水印密钥K1和提取数字水印密钥K2。如同非对称密钥密码算法一样，用非对称密钥水印算法可以建立作品到其嵌入的水印信息间多对一的映射，该映射产生嵌入同一水印信息的所有作品的集合（即该水印信息的检测区域），这种集合还必须是产生顽健水印算法的集合，即不同信息的检测区域必须具有顽健性，也就是说如果将映射为某一水印信息的水印作品做轻微的改变，最后得到的作品应该仍然映射为同一信息。而水印作品做轻微的改变很难映射为同一信息，所以敌手即使掌握了提取数字水印密钥K2也不能轻易删除、修改或去除水印信息。从几何角度分析，可以将这种非对称密钥水印算法看作是对单个形状（对于给定水印信息的检测区域）建立两个不同的描述，用嵌入数字水印密钥K1的描述使得在该形状中找出一点（水印作品）非常容易，而这一点非常靠近形状之外的一点（未加水印的原作）；用提取数字水印密钥K2的描述使得判定一点是否位于形状之内非常容易，可是要找出形状之外的邻近点就非常困难，所以敌手即使掌握了提取数字水印密钥K2也不能轻易删除、修改或去除水印信息，否则检测出错。所以选取了非对称密钥水印算法可以抵抗非法删除、修改或去除攻击，如敏感性分析攻击等6。4 其他性能分析4.1 顽健性本文的方案选取了顽健性水印算法，可抵抗针对水印算法的各种攻击，根据文献2可得, 顽健性水印算法可抵抗针对水印算法的各种攻击。4.2 纠正恢复能力在水印方案中，假如从嵌入水印到检测水印之间受到衰减，水印信息中包含的签名内容必须是顽健的，否则即使有1bit发生改变，如式(2)中、和中有1bit改变，散列值就会改变，最后使得验证签名无效。为此，本文的方案将签名信息 进行了安全编码，得到共谋安全码，在嵌入签名的同时还嵌入了码，使得式(3)的水印信息中有2个 的描述，其中码中的描述更安全，作为精确描述，这样电子作品信号尤其是电子签名信号受到衰减，验证签名无效时，用第2.2节4)方法纠正，因此，该方案有很好的纠正恢复能力。4.3 认证性和完整性本文的方案由加载验证水印中心T将水印信息签名后加密，实现了M的认证性和保密性，也保证了的正确性和完整性。本文的方案将作为水印信息的一部分，可以认证作品，鉴别作者。本文的方案将ID作为水印信息的一部分，可以鉴别数字作品所有者，跟踪操作。本文的方案将K1和K2作为水印信息的一部分，可以鉴别抵抗水印协议攻击。4.4 签名安全性本文的方案中将和的异或值作为水印信息，而不是将二者链接，这样既隐蔽了、和的信息，又提高了伪造签名的计算复杂度。令的长度，伪造者伪造 的计算复杂度约为，而伪造 的计算复杂度约为，提高了1倍。所以该方案中的数字签名有较好的安全性，也增强了水印方案抵抗未经授权加载攻击和系统攻击的安全性。4.5 不可知性本文的方案中水印信息包含签名信息是一个散列值，信息量比较小，不会增加信号的存储空间和传输带宽，具有很好的不可知性。5 结束语本文的数字水印方案用适当的顽健性水印算法来抵抗各种水印算法的攻击，将加密、签名、编码技术结合起来并选取非对称水印算法来抵抗各种水印协议攻击，文中还用可证安全性理论思想证明了该方案可以抵抗拷贝攻击和歧义攻击，也证明了该方案有较好的性能，尤其是采用了模糊匹配方法，对网络信号衰减进行了纠正恢复验证。由于目前还没有真正找到导致敏感性攻击等未经授权去除攻击的基本安全性弱点，一些多对一的非对称密钥水印算法6还不完善，还需要进一步研究其实现问题。参考文献：1LIU Q, NAINI R S, SHEPPARD N PDigital rights management for content distributionA. Proceedings of the Australasian Information Security Workshop Conference on ACSW Frontiers 2003 (AISW2003)C. 2003. 49-58.2LIN E T, ESKICIOGLU A M, LAGENDIJK R L, et al. Advances in digital video content protectionJProceedings of the IEEE, 2005, 93(1):171-183.3KATZENBEISSER S, VEITH H. Securing symmetric watermarking schemes against protocol attacksA. Proceedings of the SPIE vol. 4675, Security and Watermarking of Multimedia Contents IVC. 2002. 260-268.4刘立刚, 陈晓苏, 胡蕾. 抗协议攻击的版权保护安全方案. 中山大学学报J.2004,43(2):83-86.LIU L G, CHEN X S, HU L. Digital copyright protection security schemes against protocol attacksJ. Acta of Sun-Yat-Sen University, 2004, 43(2):83-86.5张雨, 肖扬. 基于Turbo 码的数字水印方案. EB/OL. http:/www.paper. .ZHANG Y, XIAO Y. Digital watermarking scheme based on Turbo codeEB/OL. .6TZENG J G, HWANG W L, CHERN I L. An asymmetric subspace watermarking method for copyright protectionJ. IEEE Transactions on Signal Processing,2005,53(2):784-792.7ADELSBACH A, KATZENBEISSER S, VEITH H. Watermarking schemes provably secure against copy and ambiguity attacksA. ACM Workshop on Digital Rights Management(DRM03)C. Washington: ACM Press, 2003. 111-119.8CELIK M U, SHARMA G, TEKALP A M. Collusion-resilient fingerprinting by random pre-warpingJ. IEEE Signal Processing Letters, 2004, 11(10)：837-865.9YOO H, LEE H, LEE S, et al. Designated verification of non-invertible watermarkA. ISC03C. LNCS 2851, Berlin, Heidelberg: Springer- Verlag, 2003. 338-351.10SEKHAR M R, OKAMOTO T, OKAMOTO E. On designatedly verified (non-interactive) watermarking s