第19卷专集
2006年7月
烟台大学学报(自然科学与工程版) Vol. 19 Special
Journal of Yantai University (Natural Science and Engineering) July. 2006
数字水印的攻击与反攻击
张新红
(河南大学计算机中心)
E-mail: hnkfzxh@163.com
摘要: 数字水印技术近年来得到了广泛的研究，新的水印算法不断提出，同时新的攻击方法也不断出现。对水
印攻击的研究可以促进和推动数字水印技术的发展。对攻击算法进行了分类，并根据对水印的攻击分别对水印
设计、嵌入和检测三个阶段中水印的反攻击方法进行了分析。最后对目前水印研究的现状提出了一些看法。
关键词:数字水印;攻击;反攻击
Water marking Attack and
Xinhong Zhang
(Department of Computer Center, Henan
Counterplot
University)
Abstract: Digital watermarking technique is a powerful tool for protection of intellectual property
rights (IPR). Watermarking systems have gained a large interest in both research and industry in the
past few years. Many of new watermarking algorithms have been presented, at the same time, many of
new watermarking atack algorithms also been presented. These attack algorithms will accelerate the
development of digital watermarking technique. After simply introduce some basic theory about digital
image watermarking, we systematically review proposed attacks on digital watermarking, and we
distinguished between the following three groups of attacks: removal atack, synchronization attack
and protocol atack. Further, we introduce some familiar digital watermarking benchmark.
Key words: Digital Watermarking; Attack; Counter-Attack
1引言
随着国际互联网、
题提出了迫切的需求。
出现了大量的算法[p-310
电子商务的快速发展，工业界、商业界都对多媒体市场中的知识产权(IPR)保护问
自九十年代初以来，数字水印和信息隐藏已经迅速发展成为一个单独地研究领域，
19%年首次召开了关于信息隐藏的国际学术会议。近年来对数字水印的攻击也得
到了广泛的研究。显然，这些攻击算法的研究将有助于数字水印技术的发展。本文对已经出现的一些数
字水印攻击与反攻击算法进行了总结和分析，我们希望能像在密码学领域中那样，通过对数字水印的攻
击与反攻击的研究，为以后进一步提出新的数字水印理论和算法打下良好的基础。
2攻击的分类
对数字水印的攻击需要对水印的嵌入和检测过程进行深入的分析和研究。从理论上来说，嵌入的水印
信息总是可以被找到的，有些水印攻击方法就是在图像中寻找这些水印信息，并设法去除它们。这些攻
击方法一般只对早期比较简单的水印算法有效。在一些较新的水印算法中，水印的嵌入过程中并不是直
接修改图像的像素或频域系数，而是利用了图像空域或频域的局部或全局特征，并考虑了视觉模型的影
响，这些水印算法具有较好的鲁棒性。对于这类水印算法，攻击者即使找到了水印信息也难以把它们完
全去除，因此就出现了另一类水印攻击算法，不以完全去除水印信息为目的，而是通过对含水印图像做
各种修改的方法破坏水印检测于嵌入信息之间的同步性，使得相对于水印检测算法来说攻击后图像中的
水印不存在，从而达到攻击的目的。另外，还有一些水印攻击方法是以攻击水印应用概念和协议为目的
而设计的。
张新红:数字水印的攻击与反攻击
为了尽可能地避免各类算法之间的重复，我们根据攻击算法对水印的处理情况把它们分成了三类，即:
去除攻击、同步攻击和协议攻击。本节将分别介绍上述三类水印攻击算法。我们一般只分析这些水印攻‘
击的基本原理，而不对个别的算法进行详细讨论。
2.1去除攻击
去除攻击的目标是通过对含水印图像进行分析，试图从原图像中完全去除水印信息。这类攻击算法主
要包括:去噪、量化、有损压缩、重新调制、.平均供谋[41、穷举搜索攻击、Oracle攻击等。
对于原始图像来说，水印信息通常可以看作是一种噪声，所以可以用去噪的方法去除水印。这种方法
是采用线性滤波器如低通、高通和带通滤波器，或非线性滤波器如中值(Median)、形态(Morphological)
滤波器滤除噪声。
量化一般发生在改变图像颜色深度的情况下，比如由彩色图像转换为灰度图像，或采用抖动(Dithering)
或半影调(Halftone)算法将灰度图像显示、打印为二值图像。由于量化时损失了较多的图像信息，因此有
可能去除水印。
有损压缩是一种常见的图像操作。由于压缩后图像信息有损失，因此有可能破坏水印信息。如果把水
印嵌入于图像的高频部分，则经有损压缩压缩后几乎可以完全去除水印。。
重新调制(Remodulation)攻击就是利用图像和水印的统计模型预测或估计出水印信息，然后利用估
计出的水印去除原来的水印或对其进行窜改。
平均(Averaging)/共谋(Collusion)攻击是利用多个含水印图像之间的统计信息进行攻击的一种方法。如
果非法用户可以得到水印图像的多个拷贝，即包括不同的水印信息的几个相同图像，他就可以利用取多
个拷贝平均的方法去除水印信息，或者根据多个含水印图像之间的统计信息从每个拷贝中提取一小部分
图像，最后再把这些小图像合并为一个完整的不含水印的图像。研究表明，如果非法用户可以得到10个·
左右的图像拷贝，就可以成功地利用平均/共谋攻击去除水印信息。
‘般盲水印系统都要利用密钥信息。理论上来说采用穷举搜索的方法可以找到密钥信息，从而进一步
去除水印。
有些数字水印系统的水印提取算法是公开的，甚至水印嵌入算法也是公开的。水印的安全性取决于密
钥或硬件设备。Oracle攻击[151就是针对这种水印系统的一种攻击方法。在水印检测的输出只是判断水印是
否存在的情况下，攻击者采用类似机器学习中的Oracle模型，有目的的对含水印图像做逐步退化，比如
有损压缩等，并用公开的水印提取算法进行检测，这个过程反复进行，直到无法检测到水印信号的存在
为止，从而在一个合理的时间限制内以相当高的概率清除水印。Oracle攻击证明，公开提取算法的数字
水印系统是不安全的。
2.2同步攻击
同步攻击不以完全去除水印信息为目的，而是试图通过对含水印图像做各种修改以破坏水印检测算法
与嵌入信息之间的同步性，使水印检测算法无法正确地提取出水印信息，从而达到攻击的目的。这一类
的攻击算法很多，大部分的的攻击算法都可以归于此类。主要包括:几何变换、Warping, Jiter、添加噪
声、图像增强、Mosaic攻击等。
几何变换就是通过对含水印图像做各种全局或局部仿射、投影变换等进行攻击。由于简单易行，几何
变换是目前最常见的一种攻击手段，主要包括:旋转(Rotation)、缩放(Scale)、平移(Translation)，
这三项通常简称为RST161。其他的几何攻击方法还有水平反转等。
Warpingh1是扭曲图像的技术，通常在对图像做局部调整和修补时使用。攻击者采用Warping技术攻
烟台大学学报(自然科学与工程版) 第19卷
击时是对图像施加局部或全局的随机几何失真(Random geometric distortions)，这种攻击曾使很多水印
算法失败。
像素跳动(liter)就是随机删除或复制某些行或列，有时这种攻击方法也称为Unzign攻击。.攻击者
通常任意删除图像中的某几行和列，或者删除行和列后，在图像中的其他位置上复制相同数量的行和列，
以保证图像的尺寸正确。这种攻击一般不会造成视觉上的影响。
常见的打印、扫描、A/D. D/A转换等操作一般会不可避免地引入高斯白噪声。对含水印图像施加上
述操作，可能会扰乱原来的水印信息，使水印检测失效，从而达到攻击的目的。
图像增强包括了一些常见的图像处理技术，如滤波、锐化、对比度增强、Gamma校正等。这些方法
都会对水印检测与嵌入信息之间的同步性产生较大的影响。.
网络浏览器为了提高图片的显示速度，有时会在发送端把一个图像拆分成若干个小图像分别传输，接
收端把这些小图像依次拼接为整个图像显示出来。Mosaic 181攻击就是把一幅含水印图像分割成足够小的图
像块，分别通过水印检测，检测算法很有可能无法在这些小图片上发现水印信息，然后攻击者再把这些
小图像依次拼接为完整的图像。
其它的同步攻击还有数据的增减，如剪切(Croping)、添加logo和图像拼接等.
2.3协议攻击
协议攻击的目标是攻击水印应用的概念和协议。这类方法包括IBM攻击、拷贝攻击等。
IBM攻击91有时也称为可逆(Inversion)攻击，它是采用添加水印的方法使图像的所有权产生歧义.
这种攻击的出发点是，.若媒体数据中存在两个以上的水印时，一般的水印系统中没有区别那个水印是先
加入的机制。假定原始媒体数据是d,版权人a在d中嵌入了版权水印wa，得到了加水印后的数据d十WOO
而攻击者b在得到d+wa后，从中减去他的水印w。而形成了d+wa-wb，并声称拥有该数据的版权。这时的
版权归属将成为一个有歧义的问题。
拷贝攻击[10-121就是要估计出水印信息，然后把估计出的水印拷贝到其他图像中。在拷贝攻击中，首先
攻击者需要在没有密钥信息和水印嵌入算法信息的情况下，利用极大似然(ML)、最大后验概率(MAP).
最小均方差(MMSE)等方法估计原始图像或水印信息。得到估计出的水印后，再把这个伪造的水印拷贝
到其他的图像上。拷贝过程中要对水印和目标数据作些调整以满足不易察觉的要求。这些调整可以根据
人的视听觉系统特性(HVS/HAS )进行，如对比度和纹理屏蔽等。
3数字水印反攻击
近年来出现了大量的可以抵抗攻击的水印算法，主要集中在抵抗几何变换攻击、抵抗StirMark攻击等，
由于这些算法种类繁杂，很难进行系统的分类和评判。这里分别对水印设计、水印嵌入和水印检测三个
阶段中主要的水印反攻击方法进行简单的分析。
(1)水印设计
在水印设计阶段，水印嵌入算法的复杂程度以及嵌入量的多少会对鲁棒性产生较大的影响。一些抵抗
水印攻击的算法往往是以牺牲容量和运算速度为代价的。检测方法的不同选择也会对水印的抗攻击性能
有一定的影响，比如采用盲检测系统可以抵抗IBM攻击。另外，选择较复杂的水印种类以及提高水印本
身的安全性，如采用较大的密钥容量可以提高水印的反攻击能力。
(2)水印嵌入
在满足水印不可见性的前提下尽量加大嵌入量是抵抗水印攻击的好方法。在空域水印方案中，应该尽
可能的在空间上分布水印信息。水印信息应该嵌入到源数据中人的感觉最重耍的部分以提高水印鲁棒性，
张新红:数字水印的攻击与反攻击
如空域中图像的边缘，DCT域的中低频区域、DWT域的低频子带等。变换域中嵌入的水印信号能量可以
分布到空域的所有像素上，抗剪切的能力优于空域水印。另外，变换域水印的抗压缩、量化、噪声的能
力较强。傅立叶·梅林(Fourier-Melline)变换是一种极坐标系下的傅立叶变换，在傅立叶一梅林变换域中
嵌入水印可以获得较好的RST鲁棒性13-141e
(3)水印检测
对于盲水印检测来说，改进相关水印检测算法对于提高水印的抗攻击能力是很有意义的。为了抵抗整
体的几何攻击，人们提出了采用利用图像不变矩特征[151、嵌入附加的对准模板(Registration Paterns)等方
法[161来检测和恢复几何变换。自适应功率谱水印算法[17-181是使水印满足功率谱条件(Power Spectrum
Condition):即使水印的功率谱和原宿主数据的功率谱成正比以提高水印的抗攻击能力。Stirmark攻击对
图像进行了不可察觉的局部几何扭曲，是一种非常有效的攻击手段。根据局部区域矢量量化特征值检测
水印[191，以及双彩色通道的方法[201可以抵抗Stirmark的攻击。Voloshynovskiy和Pun等人从图像去噪的
角度分析了水印的估计问题。在假定原图像是非平稳高斯过程或广义平稳高斯过程、水印(即噪声)为
平稳高斯过程的条件下，导出了水印最能抵抗基于估计攻击的地方.对于IBM攻击，最好的解决方案是
建立“注册中心”和检验由第三方提供的时间戳[211 (Time Stamp).
正如水印攻击者可能采用多种攻击方法进行组合攻击一样，水印反攻击也可以采取多种不同的反攻击
手段
攻击
。另外，可以尝试采用软、硬件相结合的方法，以及鲁棒水印与脆弱水印相结合的方法来抵抗水印
4总结与展望
本文把攻击方法分成了三类，即:去除攻击、同步攻击和协议攻击。数字水印技术是一个快速发展的
领域，新的水印算法不断提出，同时对水印的攻击算法也不断出现，这更加促进和推动了数字水印技术
的发展。每一类攻击方法都有不同的特点和应用，都有一定的针对性，而某一种水印算法可能对某一种
攻击特别敏感。有时候攻击者可能会同时采用多种方法进行攻击，但是应该说目前可以抵抗所有攻击的
水印算法还没有。随着数字水印技术的快速发展，迫切需要一个完善的评测基准，显然一个得到广泛认
可的Benchmark将有利于加速和促进水印技术的发展。
近年来出现的一些比较新的水印算法对水印攻击有较好的鲁棒性。去除攻击对目前的水印算法一般
已经很难奏效，新的水印攻击应该以同步攻击为主。水印的攻击应该尽可能破坏检测算法与水印之间的
同步性，·同时尽可能保护图像的品质。好的水印攻击应该充分利用图像空域或频域的局部或全局特征。
另外，目前的视觉模型还难以完全满足水印算法的耍求，如果在这方面的研究有所突破，提出一些充分
考虑到HVS的特点，更加精确、实用的视觉模型的话，无论对水印算法还是水印攻击算法都将产生重要
的影响。
参考文献
[1] Cox I J, Miller M L. The first 50 years of electronic watermarking团.EURASIP of Applied Signal Processing, 2002, 2: 126-
132.
[2] Cox I J, Miller M L, Bloom J A. Watermarking applications and their properties [A]. Proceedings of the International
Conference on Information Technology, Coding and Computing一ITCC2000 [C], 2000: 6-10.
[3] Petitcolas F A P, Anderson R J, Kuhn M G. Attacks on copyright marking systems [A]. In Information Hiding: 2nd Int.
Workshop[C]. Berlin, Germany, 1998, vol. [525: 218^238.
[4] Cox I J, Linnartz J P. Some general methods for tampering with watermarks[习.IEEE Journal on Selected Areas of
Communication, 1998,16(4):587-593.
[5] Kuter M, Petitcolas F. A fair benchmark for image watermarking systems团.Proceedings of SPIE: Security and
Watermarking of Multimedia Conte叭1999, vol. 3657:219-239.
。806. 烟台大学学报(自然科学与工程版) 第19卷
[6] Lin C, Wu M, Lui Y M, Bloom J A, Miller M L, Cox I J. Rotation, scale, and translation resilient public watermarking for
images团.IEEE Transactions on Image Processing. 2001,10: 767^-782.
[7] Voloshynovskiy Svyatoslav, Deguillaume Frederic, Pun Thienry. Multi-bit digital watermarking robust against local nonlinear
geometrical distortions [A]. In IEEE Intentional Conference on Image Processing[C], Thessalonica, Greece, 2001: 999^-1002.
[8] Petitcolas Fabien, Anderson Ross, Markus Kuhn. Information hiding一a survey [J]. Proceedings of the IEEE, 1999, 87(7):
1062^-1078.
[9] Craver S, Memon N, Yeo B L, Yeung M M. Can invisible watermarks resolve rightful ownerships?切.In Proceedings SPIE
Storage and Retrieval for Still Image and Video Databases V, 1997, SPIE 3022: 310-x321.
[10]Kuter M, Voloshynovskiy S, Herrigel A. The watermark copy attack闭.Proc. 2000, SPIE 3971: 371^-380.
[1 I ] Herrigel人Voloshynovskiy S, Rytsar Y. The watermark template attack团.Proceedings of the SPIE Security and
Watermarking of Multimedia Contents 111, 2001, vol. 4314:394-405.
[12] Voloshynovskiy Svyatoslav, Pereira Shelby, Pun Thieny. Sviatoslav Voloshynovskiy, Eggers J, Su J. Attacks on digital
watermarks: classification, estimation-based atacks and benchmarks[习.IEEE Communications Magazine (Special issue on
digital watermarking for copyright protection: a communications perspective), 2001, 39: 118^-127.
[13]Ruanaidh J O, Pun T. Rotation, scale and translation invariant digital image watermarking[月.Signal Processing (Special Issue
on Watermarking), 1998 66: 303^318.
[14]Kuter M, Bhattacharjee S K, Ebrahimi T. Towards second generation watermarking schemes [A]. In Proceedings 6th
International Conference on Image Processing (ICIP'99)[C], 1999, volume 1: 320^-323.
[15] Hu M K. Visual patern recognition by moment invariants[刀.IRE Trans. Information Theory, 1962, IT(8): 179187.
[16]Pereira Shelby, Pun Thierry. Fast robust template matching for affine resistant image watermarking [A]. In International
Workshop on Information Hiding[C], Dresden, Germany, 1999, Vol. LNCS 1768: 200^210.
[I刀Su J K, Hartung F, Girod B. A channel model for a watermark attack团.Proc. SPIE, Security and Watermarking of
Multimedia Contents, Electronic Imaging'99, 1999, vol. 3657: 159^-170.
[18] Su J K, Eggers I J, Girod B. Analysis of digital watermarks subjected to optimum linear filtering and additive noise阴.Signal
Processing, 2001, 81(6): 1141^-1175.
[19]Gareth Brisbane, Reihaneh Safavi-Naini, Philip Ogunbona. Region-based watermarking by distribution adjustment闭.ISW
2000: 54^68.
[20]Andrew Ker. An idea for a blind watermarking scheme resistant to StirMark[A]. Programming Research Group Technical
Report RR-0I-14. Oxford University Computing Laboratory, 2000.
[21]Wolfgang R B, Delp E J. A watermarking technique for digital imagery: further studies [A]. In Processing International
Conference on Imaging Science, Systems, and Application (CISST)[C], Las Vegas, NV, USA, 1997: 279^-287.