Beweisbar sichere Steganographie über einen eigenen generativen Kanal
Vier Richtungen, in denen steganographische Sicherheit sich auf die Sampler-Treue reduziert statt auf ein Wettrüsten mit Detektoren — samt eines veröffentlichten negativen Ergebnisses zur klassischen Bild-Steganographie.
Koch Laboratory — beweisbar sichere Steganographie über einen eigenen generativen Kanal
Diese Richtung nimmt Steganographie von der anderen Seite als das klassische Verstecken in fertigen Dateien (LSB/DCT im Bild), das moderne CNN-Steganalyse heute gewinnt. Ausgangspunkt ist das Modell von Hopper–Langford–von Ahn: kryptographisch sichere Steganographie existiert, sobald man über einen treuen Sampler der Kanalverteilung verfügt. Wer den Generator selbst besitzt (generatives Audio; ein deterministischer Dokument-Renderer), besitzt den Sampler — Sicherheit reduziert sich damit auf die Treue des Kanalmodells, nicht auf ein Wettrüsten mit dem Detektor. Zentrale Grenzbeobachtung: Ein deterministischer Renderer hat null Kapazität gegenüber einem Angreifer, der den Generator kennt — Träger ist nicht der Determinismus, sondern geschlüsselter Nichtdeterminismus: die Menge renderinvarianter, legaler Wahlmöglichkeiten, die der Generator ohnehin trifft, gesteuert durch den Chiffretext statt durch Zufall.
Methodik. Wie im übrigen Labor: Problem → Hypothese → falsifizierbares Kriterium → Methode → Ergebnis mit Randbedingungen. Mit einer Besonderheit: Das negative Ergebnis ist hier oft stärker als das positive, weil es über die Lebensfähigkeit des Kanals entscheidet, bevor ein einziges Nutzlast-Bit geschrieben wird.
Publikationshinweis (IP). Für patentfähige Richtungen veröffentlichen wir Problem, Stand der Technik und Erfolgskriterium — nicht die Lösungskonstruktion. Wo „Konstruktion: zurückgehalten” steht, wird das technische Detail als Anmeldematerial vorgehalten.
1. Entscheidungstest: hat der Träger einen verteidigbaren Kanal?
Forschungsfrage. Bevor irgendetwas versteckt wird: Ist das „natürliche” Ausgabeverhalten meines Generators (mit zufälliger Tie-Break-Auflösung) von einem Korpus realer Dateien unterscheidbar, die denselben Toolchain/Hersteller deklarieren? Wenn ja, ist der Kanal tot — unabhängig von der Kryptographie. Warum schwierig. Sicherheit ist relativ zu einem konkreten Herstellerprofil, nicht zu „Dateien im Allgemeinen”. Der Generator muss von der Ausgabeverteilung des benannten Toolchains ununterscheidbar sein, für den er sich ausgibt. Determinismus-Falle: Löst der imitierte Motor Gleichstände deterministisch auf, existiert die „freie Wahl” in der Zielverteilung nicht. Methode. Klassifikator (Gradient Boosting auf Strukturmerkmalen + Byte-CNN) und Zweistichprobentest (C2ST / MMD) „natürlich-G vs. Hersteller-Korpus”. Kontrolltest: dasselbe ohne Nutzlast (zufälliger Tie-Break vs. Korpus) — trennt das Versagen des Kanalmodells vom Versagen der Steganographie. Erfolgskriterium (asymmetrisch). AUC ≈ 1 falsifiziert den Kanal (hart). AUC ≈ 0,5 beweist keine Sicherheit — nur „ununterscheidbar gegenüber Angreiferklasse A bei Stichprobenbudget B”. Ergebnis in beide Richtungen verallgemeinerbar. Status: Entwurf/Design (Basisexperiment nicht durchgeführt).
2. Richtung 1 — nicht detektierbarer Kanal über generativem Audio
Forschungsfrage. Wie hoch ist die reale Durchsatzkapazität sicheren Einbettens über einem generativen Audio-Sampler, und wie wird sie gegen die Sampler-Treue abgewogen? Warum schwierig. Der Kompromiss Kapazität↔Treue ist nicht im Voraus bekannt; Audio ist jedoch ein echter Sampler hoher Entropie, ohne Determinismus-Falle — der saubere HLvA-Fall. Stand der Technik (veröffentlicht). HLvA (CRYPTO 2002); Meteor (CCS 2021) — Steganographie über LLM-Ausgabe; iMEC (ICLR 2023) — perfekte Sicherheit ⟺ Coupling, optimale Kapazität ⟺ Minimum-Entropy-Coupling (kollabiert die kryptographische Frage auf die Kanaltreue); Discop (IEEE S&P 2023) — praktisch, ~0,95 des Limits. Erfolgskriterium. Ununterscheidbarkeit gegenüber Angreiferklasse A bei Budget B; gemessene Kapazität R Bit/Einheit bei Treue ε — als testbare Eigenschaft. Konstruktion (Entscheidungspunkte des Kanals, Verzerrungskosten, Integration des geschlüsselten Samplings): zurückgehalten (offene Patentoption). Status: Entwurf/Design.
3. Richtung 2 — empfängerspezifisches Wasserzeichen generierter Dokumente
Forschungsfrage. Lässt sich ein unsichtbares, empfängerspezifisches Zeichen in ein generiertes Dokument einbetten („wer hat geleakt”), wenn der Herausgeber die Detektion kontrolliert?
Warum schwierig — und der Kern des Themas. Nichtdetektierbarkeit will unterschwellige Störungen; Robustheit (Ghostscript-Resave, Print-to-PDF, sogar Print-Scan-OCR) will überschwellige — die Ziele schließen sich aus. Diese Kompromisskurve ist das eigentliche veröffentlichbare Ergebnis. Hinzu die Determinismus-Falle: In deterministischem PDF ist die „freie Entropie” der Mikrotypographie nur gegenüber einem Angreifer frei, der den Toolchain nicht reproduziert — verteidigbarer ist die Revisionsstruktur (reale Dokumente haben eine nicht fälschbare Bearbeitungshistorie).
Spannung Kapazität↔Kollusion (quantitativ). Der bloße Empfänger-Index = log₂(N) Bit (~14 für 10⁴) — passt. Kollusionsresistenz (Tardos- / Boneh–Shaw-Codes) = O(c²·log(N/ε)) → Größenordnung 10⁵–10⁶ Bit → passt nicht in ein kurzes Dokument. Projektgrenze, kein Detail.
Stand der Technik (veröffentlicht). Syndrome-Trellis-Codes (Min-Verzerrung, TIFS 2011); Tardos (STOC 2003) und Boneh–Shaw (CRYPTO 1995) — kollusionsresistente Codes; Brassil–Low–Maxemchuk — druckresistentes Zeichen.
Konstruktion (Einbettungsfläche, Verzerrungskosten pro Wahl, empfängerspezifische Fingerprint-Schicht): zurückgehalten (offene Patentoption — als sensibel markierte Richtung). Verzweigung: eine rein digitale Variante (übersteht Resave) und eine physische (übersteht Print-Scan) haben verschiedene Bedrohungsmodelle.
Status: Entwurf/Design.
4. Negatives Ergebnis (veröffentlicht): generische Bild-Steganographie
These. Klassisches Einbetten in ein fertiges Bild (LSB, DCT) ist verloren: CNN-Steganalyse erkennt heute die meisten klassischen Einbettungen, und der Angreifer hat im Katz-und-Maus-Spiel den strukturellen Vorteil. Das Labor verfolgt dies bewusst nicht als Kern — Wert hat nur Steganographie über einem selbst besessenen Kanal (Richtungen 1–2). Warum wir das Negativ veröffentlichen. Es ist eine begründete Abgrenzungsentscheidung: Sie zeigt, wo der Angreifer im Vorteil ist und warum die Umdeutung auf das HLvA-Modell der einzige verteidigbare Weg ist. Status: abgeschlossen (negatives Ergebnis, veröffentlicht).