Zelf-authenticerende afbeeldingen door middel van eenvoudige JPEG-compressie

Er zijn de afgelopen jaren regelmatig zorgen geuit over de risico’s van gemanipuleerde afbeeldingen, met name in het licht van een nieuwe golf van AI-gebaseerde beeldbewerkingsframeworks die bestaande afbeeldingen kunnen wijzigen in plaats van ze volledig te creëren.

De meeste voorgestelde detectiesystemen voor dit soort inhoud vallen in een van twee categorieën: de eerste is watermerken – een fallbackbenadering die is ingebouwd in het kader voor beeldauthenticiteit dat momenteel wordt gepromoot door de Coalition for Content Provenance and Authenticity (C2PA).

De C2PA-watermerkprocedure is een fallback, mocht de afbeeldingsinhoud worden gescheiden van zijn oorspronkelijke en voortdurende manifest. Bron: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Deze ‘geheime signalen’ moeten vervolgens robuust zijn tegen de automatische herschrijf-/optimalisatieprocedures die vaak optreden als een afbeelding door sociale netwerken en portals heen gaat – maar ze zijn vaak niet bestand tegen het soort verliesgevende herschrijving dat wordt toegepast door JPEG-compressie (en ondanks concurrentie van pretenders zoals webp, wordt het JPEG-formaat nog steeds gebruikt voor naar schatting 74,5% van alle website-afbeeldingen).

De tweede benadering is om afbeeldingen te maken die wijzigingen aantonen, zoals oorspronkelijk voorgesteld in het paper uit 2013 Image Integrity Authentication Scheme Based On Fixed Point Theory. In plaats van te vertrouwen op watermerken of digitale handtekeningen, gebruikte deze methode een wiskundige transformatie genaamd Gaussian Convolution and Deconvolution (GCD) om afbeeldingen naar een stabiele staat te brengen die zou breken als ze werden gewijzigd.

Uit het paper ‘Image Integrity Authentication Scheme Based On Fixed Point Theory’: resultaten van tamperlocalisatie met behulp van een vaste punt-afbeelding met een Peak Signal-to-Noise (PSNR) van 59,7802 dB. Witte rechthoeken geven de gebieden aan die aanvallen hebben ondergaan. Paneel A (links) toont de toegepaste wijzigingen, waaronder gelokaliseerd ruis, filtering en kopieerbare aanvallen. Paneel B (rechts) toont de corresponderende detectie-uitvoer, waarin de gemanipuleerde gebieden worden gemarkeerd die zijn geïdentificeerd door het authenticatieproces. Bron: https://arxiv.org/pdf/1308.0679

Het concept is misschien het beste te begrijpen in de context van het repareren van een delicate kantklos: ongeacht hoe fijn de ambacht is die wordt gebruikt om de filigrain te repareren, het gerepareerde gedeelte zal onvermijdelijk zichtbaar zijn.

Deze soort transformatie, wanneer deze herhaaldelijk op een grijswaardenafbeelding wordt toegepast, brengt deze langzaam naar een staat waarin het toepassen van de transformatie opnieuw geen verdere verandering oplevert.

Deze stabiele versie van de afbeelding wordt een vaste punt genoemd. Vaste punten zijn zeldzaam en zeer gevoelig voor veranderingen – elke kleine wijziging in een vaste punt-afbeelding zal bijna zeker de vaste status breken, waardoor het gemakkelijk is om manipulatie te detecteren.

Als gebruikelijk bij dergelijke benaderingen, vormen de artefacten van JPEG-compressie een bedreiging voor de integriteit van het schema:

Links zien we een watermerk dat is toegepast op het gezicht van de iconische ‘Lenna’ (Lena)-afbeelding, die duidelijk zichtbaar is onder normale compressie. Rechts, met 90% JPEG-compressie, zien we dat het onderscheid tussen het waargenomen watermerk en de groei van JPEG-ruis afneemt. Na meerdere opslagen of bij de hoogste compressieniveaus hebben de meeste watermerkschema’s problemen met JPEG-compressie-artefacten. Bron: https://arxiv.org/pdf/2106.14150

Wat als, in plaats daarvan, JPEG-compressie-artefacten eigenlijk konden worden gebruikt als het centrale middel om een vaste punt te verkrijgen? In dat geval zou er geen behoefte zijn aan extra systeemcomponenten, aangezien hetzelfde mechanisme dat meestal problemen veroorzaakt voor watermerken en manipulatiedetectie, in plaats daarvan de basis zou vormen van het manipulatiedetectiekader zelf.

JPEG-compressie als beveiligingsbasis

Een dergelijk systeem wordt voorgesteld in een nieuw paper van twee onderzoekers aan de Universiteit van Buffalo bij de State University of New York. Getiteld Tamper-Evident Image Using JPEG Fixed Points, het nieuwe aanbod bouwt voort op het werk uit 2013 en verwante werken, door officieel de centrale principes te formuleren, voor het eerst, evenals door JPEG-compressie zelf ingenieus te gebruiken als een methode om mogelijk een ‘zelf-authenticerende’ afbeelding te produceren.

De auteurs verklaren:

‘Het onderzoek toont aan dat een afbeelding ongewijzigd blijft na het ondergaan van meerdere ronden van hetzelfde JPEG-compressie- en decompressieproces.

‘Met andere woorden, als een enkele cyclus van JPEG-compressie en decompressie wordt beschouwd als een transformatie van de afbeelding, aangeduid als een JPEG-transformatie, dan vertoont deze transformatie de eigenschap van vaste punten te hebben, d.w.z. afbeeldingen die onveranderd blijven wanneer de JPEG-transformatie wordt toegepast.’

Uit het nieuwe paper, een illustratie van JPEG-vaste punt-convergentie. In de bovenste rij zien we een voorbeeldafbeelding die herhaaldelijk JPEG-compressie ondergaat, met elk iteratie dat het aantal en de locatie van veranderende pixels toont; in de onderste rij wordt de pixel-wijs L2-afstand tussen opeenvolgende iteraties weergegeven bij verschillende compressiekwaliteitsinstellingen. Bron: https://arxiv.org/pdf/2504.17594

In plaats van externe transformaties of watermerken in te voeren, definieert het nieuwe paper het JPEG-proces zelf als een dynamisch systeem. In dit model beweegt elke compressie- en decompressiecyclus de afbeelding naar een vaste punt. De auteurs bewijzen dat, na een eindig aantal iteraties, elke afbeelding ofwel een vaste punt bereikt of benadert, ofwel een staat waarin verdere compressie geen verandering zal opleveren.

De onderzoekers verklaren*:

‘Elke wijziging in de afbeelding zal afwijkingen van de JPEG-vaste punten veroorzaken, die kunnen worden gedetecteerd als veranderingen in de JPEG-blokken na een enkele ronde van JPEG-compressie en decompressie…

‘De voorgestelde tamper-evidente afbeeldingen op basis van JPEG-vaste punten hebben twee voordelen. Ten eerste elimineren tamper-evidente afbeeldingen de behoefte aan externe opslag van verifieerbare kenmerken, zoals vereist door beeldvingerafdrukken [schema’s], of de inbedding van verborgen sporen, zoals in beeldwatermerkmethode. De afbeelding zelf dient als bewijs van authenticiteit, waardoor het schema inherent zelf-evident is.

‘Ten tweede, aangezien JPEG een breed gebruikt formaat is en vaak de laatste stap is in de beeldverwerkingspijplijn, is de voorgestelde methode bestand tegen JPEG-bewerkingen. Dit staat in contrast met de oorspronkelijke [benadering] die de integriteitskenmerken kan verliezen vanwege JPEG.’

Het belangrijkste inzicht van het paper is dat JPEG-convergentie niet alleen een bijproduct is van het ontwerp, maar een wiskundig onvermijdelijk gevolg van de bewerkingen. De discrete cosinustransformatie, kwantisatie, afronding en truncatie vormen samen een transformatie die (onder de juiste voorwaarden) leidt tot een voorspelbare set vaste punten.

Schema voor het JPEG-compressie-/decompressieproces, opgesteld voor het nieuwe werk.

In tegenstelling tot watermerken, vereist deze methode geen ingebed signaal. De enige referentie is de consistentie van de afbeelding onder verdere compressie. Als recompressie geen verandering oplevert, wordt de afbeelding verondersteld authentiek te zijn. Als dit wel het geval is, wordt manipulatie aangegeven door de afwijking.

Tests

De auteurs hebben dit gedrag geverifieerd met behulp van één miljoen willekeurig gegenereerde acht-bij-acht patches van achtbit-grijswaardenafbeeldingsgegevens. Door herhaaldelijk JPEG-compressie en decompressie toe te passen op deze synthetische patches, zagen ze dat convergentie naar een vaste punt optreedt binnen een eindig aantal stappen. Dit proces werd gevolgd door de pixel-wijs L2-afstand tussen opeenvolgende iteraties te meten, met de verschillen die afnemen totdat de patches stabiliseren.

L2-verschil tussen opeenvolgende iteraties voor één miljoen 8×8 patches, gemeten onder verschillende JPEG-compressiekwaliteiten. Elk proces begint met een enkel JPEG-gecomprimeerd patch en volgt de reductie in verschil over herhaalde compressies.

Om manipulatiedetectie te evalueren, hebben de auteurs tamper-evidente JPEG-afbeeldingen gemaakt en vier soorten aanvallen toegepast: zout en peper ruis; kopiëren en verplaatsen bewerkingen; invoegen vanuit externe bronnen; en dubbele JPEG-compressie met een andere kwantisatietabel.

Voorbeeld van vaste punt RGB-afbeeldingen met detectie en localisatie van manipulatie, inclusief de vier verstoringmethoden die door de auteurs zijn gebruikt. In de onderste rij zien we dat elke perturbatiestijl zichzelf verraadt, relatief ten opzichte van de gegenereerde vaste punt-afbeelding.

Na manipulatie werden de afbeeldingen opnieuw gecomprimeerd met behulp van de oorspronkelijke kwantisatietabel. Afwijkingen van het vaste punt werden gedetecteerd door afbeeldingsblokken te identificeren die niet-nulverschillen vertoonden na recompressie, waardoor zowel detectie als localisatie van gemanipuleerde regio’s mogelijk werd.

Aangezien de methode volledig is gebaseerd op standaard JPEG-bewerkingen, werken vaste punt-afbeeldingen prima met reguliere JPEG-weergaven en -bewerkers; maar de auteurs merken op dat als de afbeelding opnieuw wordt gecomprimeerd op een ander kwaliteitsniveau, deze zijn vaste punt-status kan verliezen, waardoor de authenticatie kan worden verbroken en zorgvuldig moet worden behandeld in het echte gebruik.

Hoewel dit niet alleen een hulpmiddel is voor het analyseren van JPEG-uitvoer, voegt het ook niet veel complexiteit toe. In principe kan het worden geïntegreerd in bestaande workflows met minimale kosten of verstoring.

Het paper erkent dat een gesofisticeerde tegenstander mogelijk kan proberen om tegenwerkende wijzigingen aan te brengen die de vaste punt-status behouden; maar de onderzoekers betogen dat dergelijke inspanningen waarschijnlijk zichtbare artefacten zouden introduceren, waardoor de aanval wordt ondermijnd.

Hoewel de auteurs niet beweren dat vaste punt JPEG’s bredere provenancesystemen zoals C2PA kunnen vervangen, suggereren ze dat vaste puntmethoden externe metagegevenskaders kunnen aanvullen door een extra laag van manipulatiebewijs te bieden die blijft bestaan, zelfs als metagegevens worden verwijderd of verloren gaan.

Conclusie

De JPEG-vaste puntbenadering biedt een eenvoudige en zelfstandige alternatieve voor conventionele authenticatiesystemen, die geen ingebedde metadata, watermerken of externe referentiebestanden vereisen, en in plaats daarvan authenticiteit rechtstreeks afleidt uit het voorspelbare gedrag van het compressieproces.

Op deze manier herwint de methode JPEG-compressie – een frequente bron van gegevensdegradatie – als een mechanisme voor integriteitsverificatie. In dit opzicht is het nieuwe paper een van de meest innovatieve en inventieve benaderingen van het probleem dat ik de afgelopen jaren ben tegengekomen.

Het nieuwe werk wijst op een verschuiving weg van laag voor laag toegevoegde beveiliging, en naar benaderingen die gebruikmaken van de ingebouwde kenmerken van de media zelf. Naarmate manipulatiemethoden meer geavanceerd worden, kunnen technieken die de interne structuur van de afbeelding testen belangrijker worden.

Verder introduceren veel alternatieve systemen die zijn voorgesteld om dit probleem aan te pakken, aanzienlijke wrijving door veranderingen te vereisen in lang gevestigde beeldverwerkingsworkflows – sommige daarvan hebben jarenlang, of zelfs decennialang, betrouwbaar gefunctioneerd, en zouden een veel sterkere rechtvaardiging vereisen om opnieuw in te richten.

* Mijn conversie van de inline citaten van de auteurs naar hyperlinks.

Eerst gepubliceerd op vrijdag 25 april 2025