Selbstauthentifizierende Bilder durch einfache JPEG-Komprimierung

Bedenken hinsichtlich der Risiken, die von manipulierten Bildern ausgehen, sind in den letzten Jahren regelmäßig in der Forschung aufgetaucht, insbesondere im Hinblick auf den neuen Anstieg von AI-basierten Bildbearbeitungsframeworks, die bestehende Bilder ändern können, anstatt sie von Grund auf zu erstellen.

Die meisten der vorgeschlagenen Erkennungssysteme, die sich mit diesem Typ von Inhalten befassen, fallen in eine von zwei Kategorien: die erste ist Wasserzeichen – ein Fallback-Ansatz, der in das Bild-Verität- Framework integriert ist, das jetzt von der Coalition for Content Provenance and Authenticity (C2PA) gefördert wird.

Das C2PA-Wasserzeichen-Verfahren ist ein Fallback, wenn der Bildinhalt von seinem ursprünglichen und laufenden Manifest getrennt wird. Quelle: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Diese ‘geheimen Signale’ müssen anschließend robust gegen die automatischen Re-Kodierungs-/Optimierungsverfahren sein, die oft auftreten, wenn ein Bild durch soziale Netzwerke und über Portale und Plattformen übertragen wird – aber sie sind oft nicht widerstandsfähig gegen die Art der verlustbehafteten Re-Kodierung, die durch JPEG-Komprimierung angewendet wird (und trotz der Konkurrenz von Prätendenten wie webp wird das JPEG-Format immer noch für etwa 74,5% aller Website-Bilder verwendet).

Der zweite Ansatz besteht darin, Bilder manipulationsbeweisbar zu machen, wie ursprünglich vorgeschlagen in der 2013 veröffentlichten Arbeit Bild-Integritäts-Authentifizierungsschema basierend auf Fixpunkttheorie. Anstatt auf Wasserzeichen oder digitale Signaturen zu vertrauen, verwendete diese Methode eine mathematische Transformation namens Gaußsche Faltung und Entfaltung (GCD), um Bilder in einen stabilen Zustand zu bringen, der bei Änderungen zusammenbricht.

Ergebnisse der Manipulationslokalisierung mit einem Fixpunktbild mit einem PSNR von 59,7802 dB. Quelle: https://arxiv.org/pdf/1308.0679

Dieses Konzept ist vielleicht am einfachsten im Kontext der Reparatur eines empfindlichen Spitzenkleides zu verstehen: egal, wie fein die Handwerkskunst ist, die zum Flicken des Filigrans verwendet wird, der reparierte Bereich wird unweigerlich erkennbar sein.

Diese Art von Transformation, wenn sie wiederholt auf ein Graustufenbild angewendet wird, bringt es allmählich in einen Zustand, in dem die Anwendung der Transformation erneut keine weitere Änderung produziert.

Diese stabile Version des Bildes wird als Fixpunkt bezeichnet. Fixpunkte sind selten und sehr empfindlich gegenüber Änderungen – jede kleine Modifikation eines Fixpunktbildes wird fast sicherlich seinen Fix-Status brechen, was es leicht macht, Manipulationen zu erkennen.

Wie üblich bei solchen Ansätzen, können die Artefakte der JPEG-Komprimierung die Integrität des Schemas gefährden:

Links sehen wir ein Wasserzeichen, das auf das Gesicht des ikonischen ‘Lenna’ (Lena)-Bildes angewendet wird. Quelle: https://arxiv.org/pdf/2106.14150

Was, wenn stattdessen JPEG-Komprimierungsartefakte tatsächlich als zentrales Mittel zur Erlangung eines Fixpunktes verwendet werden könnten? In einem solchen Fall gäbe es keine Notwendigkeit für externe Systeme, da der gleiche Mechanismus, der normalerweise Probleme für Wasserzeichen und Manipulationserkennung verursacht, stattdessen die Grundlage für die Manipulationserkennung selbst bilden würde.

JPEG-Komprimierung als Sicherheitsbasis

Ein solches System wird in einer neuen Arbeit von zwei Forschern der University of Buffalo at the State University of New York vorgeschlagen. Mit dem Titel Manipulationsbeweisbares Bild mit JPEG-Fixpunkten baut die neue Arbeit auf der Arbeit von 2013 und verwandten Arbeiten auf, indem sie ihre zentralen Prinzipien offiziell formulierte, zum ersten Mal, sowie indem sie die JPEG-Komprimierung selbst als Methode zur potenziellen Erzeugung eines ‘selbstauthentifizierenden’ Bildes nutzt.

Die Autoren erweitern:

‘Die Studie zeigt, dass ein Bild unverändert bleibt, nachdem es mehrere Runden des gleichen JPEG-Komprimierungs- und Dekomprimierungsprozesses durchlaufen hat.

‘Mit anderen Worten, wenn ein einzelner Zyklus der JPEG-Komprimierung und Dekomprimierung als Transformation des Bildes betrachtet wird, bezeichnet als JPEG-Transformation, dann zeigt diese Transformation die Eigenschaft, Fixpunkte zu haben, d. h. Bilder, die unverändert bleiben, wenn die JPEG-Transformation angewendet wird.’

Aus der neuen Arbeit, eine Illustration der JPEG-Fixpunktkonvergenz. Quelle: https://arxiv.org/pdf/2504.17594

Anstatt externe Transformationen oder Wasserzeichen einzuführen, definiert die neue Arbeit den JPEG-Prozess selbst als dynamisches System. In diesem Modell bewegt jeder Komprimierungs- und Dekomprimierungscyklus das Bild in Richtung eines Fixpunktes. Die Autoren beweisen, dass, nach einer endlichen Anzahl von Iterationen, jedes Bild entweder einen Fixpunkt erreicht oder approximiert, in dem weitere Komprimierung keine Änderung produziert.

Die Forscher stellen fest*:

‘Jede Änderung des Bildes wird Abweichungen von den JPEG-Fixpunkten verursachen, die als Änderungen in den JPEG-Blöcken nach einem einzigen Zyklus der JPEG-Komprimierung und Dekomprimierung erkannt werden können…

‘Die vorgeschlagenen manipulationsbeweisbaren Bilder auf der Grundlage von JPEG-Fixpunkten haben zwei Vorteile. Erstens eliminieren manipulationsbeweisbare Bilder die Notwendigkeit für externe Speicherung von überprüfbaren Merkmalen, wie sie von Bild-Fingerabdrücken [Schemata] oder der Einbettung von versteckten Spuren, wie bei Bild-Wasserzeichenmethoden, erforderlich sind. Das Bild selbst dient als Beweis für seine Echtheit, was das Schema inhärent selbstbeweisbar macht.

‘Zweitens ist die vorgeschlagene Methode, da JPEG ein weit verbreiteter Format ist und oft der letzte Schritt in der Bildverarbeitungspipeline ist, resilient gegen JPEG-Operationen. Dies steht im Gegensatz zum ursprünglichen [Ansatz], der möglicherweise Integritätsmerkmale aufgrund von JPEG verliert.’

Die zentrale Erkenntnis der Arbeit ist, dass die JPEG-Konvergenz nicht nur ein Nebenprodukt ihres Designs ist, sondern eine mathematisch unvermeidliche Folge ihrer Operationen. Die diskrete Kosinustransformation, Quantisierung, Rundung und Trunkierung bilden zusammen eine Transformation, die (unter den richtigen Bedingungen) zu einem vorhersehbaren Satz von Fixpunkten führt.

Schema für den JPEG-Komprimierungs-/Dekomprimierungsprozess, formuliert für die neue Arbeit.

Im Gegensatz zu Wasserzeichen erfordert diese Methode kein eingebettetes Signal. Der einzige Bezugspunkt ist die eigene Konsistenz des Bildes unter weiterer Komprimierung. Wenn Rekompimierung keine Änderung produziert, wird das Bild als authentisch angenommen. Wenn es eine Änderung produziert, wird Manipulation durch die Abweichung angezeigt.

Tests

Die Autoren validierten dieses Verhalten mit einer Million zufällig generierter 8×8-Patches von 8-Bit-Graustufenbildaten. Durch wiederholte JPEG-Komprimierung und Dekomprimierung dieser synthetischen Patches beobachteten sie, dass die Konvergenz zu einem Fixpunkt innerhalb einer endlichen Anzahl von Schritten auftritt. Dieser Prozess wurde durch Messung des pixelweisen L2-Abstands zwischen aufeinanderfolgenden Iterationen überwacht, wobei die Unterschiede abnahmen, bis die Patches stabilisierten.

L2-Abstand zwischen aufeinanderfolgenden Iterationen für eine Million 8×8-Patches.

Um die Manipulationserkennung zu bewerten, konstruierten die Autoren manipulationsbeweisbare JPEG-Bilder und wandten vier Arten von Angriffen an: Salt and Pepper-Rauschen; Copy-Move-Operationen; Splicing aus externen Quellen; und Doppelte JPEG-Komprimierung mit einer anderen Quantisierungstabelle.

Beispiel für Fixpunktbilder im RGB-Format mit Erkennung und Lokalisierung von Manipulationen.

Nach der Manipulation wurden die Bilder mit der ursprünglichen Quantisierung neu komprimiert. Abweichungen vom Fixpunkt wurden durch Identifizierung von Bildblöcken erkannt, die nicht-null-Differenzen nach Rekompimierung aufwiesen, was sowohl die Erkennung als auch die Lokalisierung von manipulierten Bereichen ermöglichte.

Da die Methode ausschließlich auf Standard-JPEG-Operationen basiert, funktionieren Fixpunktbilder problemlos mit regulären JPEG-Viewern und Editoren; die Autoren weisen jedoch darauf hin, dass, wenn das Bild bei einer anderen Qualitätsstufe rekompimiert wird, es seinen Fixpunktzustand verlieren kann, was die Authentifizierung brechen und sorgfältig in der realen Anwendung gehandhabt werden muss.

Während dies nicht nur ein Werkzeug für die Analyse von JPEG-Ausgaben ist, fügt es auch nicht viel Komplexität hinzu. Im Prinzip könnte es in bestehende Arbeitsabläufe mit minimalen Kosten oder Störungen integriert werden.

Die Arbeit erkennt an, dass ein sophistizierter Angreifer versuchen könnte, adversarische Änderungen zu erstellen, die den Fixpunktzustand erhalten; die Forscher sind jedoch der Meinung, dass solche Bemühungen wahrscheinlich sichtbare Artefakte einführen würden, die den Angriff untergraben.

Während die Autoren nicht behaupten, dass Fixpunktbilder breitere Herkunfts-Systeme wie C2PA ersetzen könnten, schlagen sie vor, dass Fixpunktmethode externe Metadaten-Frameworks durch ein zusätzliches Schicht von Manipulationsbeweisen ergänzen könnten, die auch dann erhalten bleibt, wenn Metadaten entfernt oder verloren werden.

Schlussfolgerung

Der JPEG-Fixpunkt-Ansatz bietet eine einfache und selbstenthaltene Alternative zu herkömmlichen Authentifizierungssystemen, die keine eingebetteten Metadaten, Wasserzeichen oder externen Referenzdateien erfordert und stattdessen die Echtheit direkt aus dem vorhersehbaren Verhalten des Komprimierungsprozesses ableitet.

Auf diese Weise macht die Methode die JPEG-Komprimierung – ein häufiger Quell von Datenverschlechterung – zu einem Mechanismus für Integritätsüberprüfung. In diesem Zusammenhang ist die neue Arbeit einer der innovativsten und erfinderischsten Ansätze für dieses Problem, den ich in den letzten Jahren gesehen habe.

Die neue Arbeit weist auf einen Wandel hinweg von schichtweise hinzugefügten Sicherheitsmaßnahmen und hin zu Ansätzen, die auf die eingebauten Eigenschaften der Medien selbst zurückgreifen. Da Manipulationstechniken immer raffinierter werden, könnten Techniken, die die interne Struktur des Bildes testen, immer wichtiger werden.

Weiterhin führen viele alternative Systeme, die vorgeschlagen werden, um dieses Problem zu lösen, erhebliche Reibung durch die Änderung etablierter Bildverarbeitungs-Workflows – einige davon haben seit Jahren oder sogar Jahrzehnten zuverlässig funktioniert und würden eine viel stärkere Rechtfertigung für eine Neukonfiguration erfordern.

* Meine Umwandlung der inline-Zitate der Autoren in Hyperlinks.

Erstveröffentlichung am Freitag, dem 25. April 2025