基于加法同态加密与多高位嵌入的加密域图像可逆信息隐藏.pdf

2023 年 8 月 Chinese Journal of Network and Information Security August 2023 第 9 卷第 4 期 网络与信息安全学报 Vol.9 No.4 基于加法同态加密与多高位嵌入的加密域图像可逆信息隐藏 肖文乾，杨高波，王德望，夏明（湖南大学信息科学与工程学院，湖南 长沙 410082）摘 要：密文域图像可逆信息隐藏将图像加密和可逆信息隐藏相结合，可提升图像网络传输的安全性和信息传输效率。然而，对于密文图像可逆信息隐藏，常规的逐位流加密会破坏图像的空间相关性，影响预留嵌入空间。提出基于加法同态加密与多高位嵌入的加密域图像可逆信息隐藏方法，通过加密预留空间。将原始图像划分为无重叠的块，同一个块采用相同的密钥进行加法同态加密，尽可能地将原始图像子块内像素相关性转移到加密后图像对应的子块中。为了提升安全性，加密后的图像再逐块进行 Arnold 置乱。依据块内像素与预测值之间的差值，确定该块是否嵌入信息及嵌入容量。对于可嵌入的块，利用少量的像素低位保存预测差值以保证图像可逆，冗余的多高位则以位替换的方式嵌入秘密信息。针对多高位预测可能错误的问题，设计一个依据预测差值大小腾出高位的嵌入位置选择策略，使得越接近的像素值能预留越多的高位空间。在解密阶段，秘密信息能够无误地从子块内像素的多高位提取，图像内容也能根据嵌入的多高位的数量、预测值以及预测差值实现无损恢复。实验结果表明，所提方法对广泛使用的 BOWS-2 数据集的图像平均嵌入容量可达 2.58 bit/pixel，优于其他的同类方法。关键词：加法同态；可逆信息隐藏；加密域；多高位嵌入 中图分类号：TP393 文献标志码：A DOI:10.11959/j.issn.2096109x.2023058 Reversible data hiding in encrypted images based on additive homomorphic encryption and multi-MSB embedding XIAO Wenqian,YANG Gaobo,WANG Dewang,XIA Ming School of Information Science and Engineering,Hunan University,Changsha 410082,China Abstract:Reversible Data Hiding in Encrypted Images(RDHEI)combines image encryption and reversible data hiding to improve the security and information transmission efficiency for the network transmission of images.In RDHEI,the conventional bit-by-bit encryption destroys the spatial correlation in an original image and has side effects on the preservation of embedding spaces.An approach for RHDEI was proposed,which utilized additive 收稿日期：20220411；修回日期：20230216 通信作者：杨高波，gbyang- 基金项目：国家自然科学基金（61972143，61972142）Foundation Item:The National Natural Science Foundation of China(61972143，61972142)引用格式：肖文乾,杨高波,王德望,等.基于加法同态加密与多高位嵌入的密文域可逆信息隐藏J.网络与信息安全学报,2023,9(4):121-133.Citation Format:XIAO W Q,YANG G B,WANG D W,et al.Reversible data hiding in encrypted images based on additivehomomorphic encryption and Multi-MSB embeddingJ.Chinese Journal of Network and Information Security,2023,9(4):121-133.122 网络与信息安全学报 第 9 卷 homomorphic encryption and a multi-MSB(Most Significant Bit)embedding strategy to create room within the encryption process.The original image was divided into non-overlapped blocks,and each block was subjected to the same key for additive homomorphic encryption.This helped transfer the pixel correlation within an original block to the encrypted image block as much as possible.To enhance security,the encrypted image was further subjected to an Arnold transformation on a block-by-block basis.The decision of whether data will be embedded in a block and the embedding capacity were determined by the pixel differences within the block and the predicted values.When a block was selected for embedding,a small number of LSBs(Least Significant Bits)were used to store the prediction differences,ensuring reversibility.The redundant multi-MSBs were embedded with secret information by bit replacement.For the possible errors caused by multi-MSBs prediction,an embedding position selection strategy was designed by vacating MSBs in terms of the values of prediction errors,then more MSBs were reserved for those pixels with less prediction errors.During decryption,the secret information can be accurately extracted from the multiple MSBs of the pixels in a block,and the image content can be losslessly recovered using the number of embedded multi-MSBs,predicted values,and prediction differences.Experimental results on the BOWS-2 image dataset demonstrate that the average embedding capacity is improved to 2.58 bit/pixel,surpassing existing methods.Keywords:additive homomorphism,reversible data hiding,encrypted domain,multi-MSB embedding 0 引言 传统的信息隐藏在嵌入秘密信息的过程中通常会对载体造成不可逆的修改，也被称为有损信息隐藏。可逆信息隐藏（RDH，reversible data hiding）是指将秘密信息嵌入文本、图像和视频等载体，能够无误地提取嵌入的信息并且无损地恢复载体内容1。可逆信息隐藏具有突出的优势，适用于加密信息管理与认证、隐蔽通信和其他的安全保护，在医疗、金融和军事等领域有巨大的应用前景。依据实现原理的不同，可逆信息隐藏可分为无损压缩（LC，lossless compression）2-4、差值扩展（DE，difference expansion）5-7、直方图平移（HS，histogram shifting）8-10和像素值排序（PVO，pixel value ordering）11-13等类型。随着云计算等应用的发展，图像经常会加密后存储到云服务器再进行数据访问和处理。这样，加密域图像可逆信息隐藏（RDHEI，reversible data hiding in encrypted image）应运而生，即对加密后的图像以可逆的方式嵌入秘密信息，而不需要解密或者提供对于加密图像的特定内容的感知。由于图像加密通常会破坏图像的空域冗余，RDHEI不同于传统的基于明文图像的 RDH 技术，而是结合密文信号处理与信息隐藏技术。通常，RDHEI包括图像加密和数据隐藏两个步骤。依据数据隐藏/提取是否独立于图像加密，现有的 RDHEI 方法可以分为联合 RDHEI 和可分离的 RDHEI；依据数据隐藏空间的创造方式，RDHEI 方法可以分为三类：加密后预留空间（VRAE，vacating room after encryption）14-16、通过加密预留空间（VRBE，vacating room by encryption）23-26和加密前预留空间（RRBE，reserving room before encryption）17-22。其中，RRBE 方法是在原始图像中创造嵌入空间，并且在加密后保留。因为原始图像像素之间的相关性高，这类方法的嵌入容量通常较高。对于 VRBE 方法，隐藏空间的预留取决于图像加密的方式，这类方法通常与空载的可逆信息隐藏方式结合起来。VRAE 方法是直接在加密后的图像中寻找数据隐藏的空间。VRAE 方法通常利用传统的加密方法（如逐位流式加密）进行图像加密。这类方法通过轻微修改加密图像像素值嵌入秘密信息，嵌入容量较低，其可逆性也需要借助图像的空间相关性判别一个像素是否修改，并且在图像解密后无法做到可逆的恢复原始像素值。Zhang 等14提出将加密后的图像划分成无重叠的子块，通过翻转子块内一半像素的最低 3 bit，以嵌入 1 bit 秘密信息。在接收方，利用子块内像素之间的空间相关性，进行平滑估计判别像素是否被修改，并提取秘密信息和恢复像素值。此后，Hong 等15采用边缘匹配的策略提升平滑估计的准确性，减少信息提取与图像恢复时产生的误差，从而进一步提高可逆性。此外，为了进一步提升平滑估计的精确性，第 4 期 肖文乾等：基于加法同态加密与多高位嵌入的密文域可逆信息隐藏 123 Liao 等16提出在恢复原始图像像素子块时，将已经恢复的像素子块也作为评估当前子块平滑程度的重要依据。尽管如此，上述算法还是无法保证完全可逆地提取秘密信息和恢复原始图像内容。RRBE 方法是利用原始图像空域相关性，在加密前预留足够的嵌入空间。信息嵌入者能够直接得到并利用加密后图像上预留的空间进行秘密信息嵌入。Ma 等17首次提出采用 RRBE 方法实现可逆信息隐藏。在加密前，利用 RDH 技术将一部分像素的 LSB（least significant bit）存在图像的其他位置，腾出该部分像素 LSB 位置保留到图像加密后用于秘密信息嵌入。相对低位，加密前图像像素的高位相关性更强。为此，Puteaux等18提出了一个基于最高位（MSB，most sig-nificant bit）预测的 RDHEI 方法，通过预测的方式在 MSB 平面腾出空间。此后，Yi 等20改进Puteaux 方法18，同时预测像素最高两位并预留嵌入空间，增加了嵌入容量。受到上述方法的启发，Yin 等21提出了自适应多高位预测的方案，进一步提升了嵌入容量。Mohammadi 等22提出局部差分预测器，利用相邻的像素进行预测并分析预测差值以腾出空间嵌入秘密信息。VRBE 方法是指利用特殊的加密方案，将原始图像的部分空间相关性保留或者转移到加密图像，这类方法通常能够与空域的可逆信息隐藏方法结合起来。在文献23-26中，图像被分成无重叠的像素块，每块采用相同的密钥进行流加密，使得加密后的块内像素一定程度上保留原始图像块像素的相关性。Ge 等23将图像分成无重叠子块后，计算每个子块内相邻像素差值，并生成差值直方图，再结合 HS 进行秘密信息嵌入。为提升嵌入容量，Huang 等24使用了两种不同的 HS 方案分别进行信息嵌入：一个是子块内相邻像素的差值 HS；另一个是子块内预测差值 HS。Yi 等25提出一个基于预测 DE 的方案，在22子块嵌入秘密信息。Wang 等26则提出了自适应的多高位预测算法，利用子块内像素高位相关的特性，在预测值满足嵌入条件的像素的高位通过位替换进行信息嵌入，显著提升嵌入容量。上述采用 VRBE 的 RDHEI 算法都是通过分块进行流同态加密保留子块内像素相关性。但是，由于流加密随机性较强，子块内的像素相关保留有限。此外，在 Wang 等26算法中，多高位预测嵌入方式对于像素值相当接近的情况，存在预测错误的现象。这两个问题会直接导致图像可预留的嵌入容量降低。针对上述问题，本文提出一个基于加法同态加密与多高位嵌入的 RDHEI 方法。鉴于流加密的随机性会破坏子块内像素的相关性，本文提出对相同子块的像素采用相同的密钥进行加法同态加密，尽可能地将原始图像子块内像素相关性转移到加密后图像对应的子块中。针对多高位预测可能错误的问题，本文设计一个依据预测差值大小腾出高位的策略，使得越接近的像素值能预留越多的高位空间。实验证明，所提方法嵌入容量远超于Wang等26提出的方法。具体地，本文工作的创新点如下。1)提出一个基于 VRBE 且可分离的 RDHEI方法。它采用加法同态加密的方式，相对流加密26有助于保留子块内像素值相关性。2)提出通过分析每个子块内预测差值大小，将较小的预测差值保存到子块内像素的低位，腾出的高位则作为秘密信息的嵌入空间，显著提升了嵌入容量。3)在解密阶段，该方法能够无误地提取秘密信息并且无损地恢复原始图像内容。1 基于加法同态加密与多高位嵌入策略 在基于 VRBE26-28的 RDHEI 方法中，常规的加密手段会使得图像或图像块的熵值较高，可腾出的嵌入空间较小。为此，本文提出一个基于加法同态加密与多高位嵌入的 RDHEI 方法。首先，如图 1(a)所示，内容拥有者将图像分为无重叠子块，同一个子块像素采用相同的密钥进行加法同态加密以保留子块内像素相关性。为了保证加密安全性，对同态加密后的图像进行迭代的 Arnold 置乱。接着，图 1(b)中的信息嵌入者按照内容拥有者的分块方式对加密后图像进行分块，然后利用子块内保留的像素相关性，在每个子块中预留足够的空间进行信息嵌入。在图 1(c)中，当接收者收到含密的加密图像后，可根据拥有的密钥不同得到不同的信息。当只拥有解密密钥时，可解密出高质量的图像；当只拥有嵌入密钥时，可无124 网络与信息安全学报 第 9 卷 误地提取秘密信息；当同时拥有解密和嵌入密钥时，可无误地提取秘密信息和无损地恢复图像。1.1 加法同态加密机制 同态加密的概念由 Rivest 等29首次提出。同态加密允许在没有解密密钥的情况下对加密数据做相应变化。常用的同态加密包括乘法同态和加法同态两种。乘法同态加密算法通常会产生数据扩展的问题，无法保证安全性。本文对原始图像使用模N的加法同态算法进行加密，假设 M 和C 分别代表明文和密文信息，K 表示由 RC4 算法30得到的秘密种子随机产生的密钥流。对数据进行加密E 和解密D 可以分别由式(1)和式(2)得到。(,)()modCE M KMKN(1)(,)()modMD C KCKN(2)假设1m和2m是两个不同的明文数据，1k和2k是两个随机加密密钥，那么 112212121212(,)(,)(,)mod()modE m kE m kE mm kkNmmkkN(3)11221211221212(,)(,),)(,)(,)()mod()modD E m kE m kkkE m kE m kkkNmmN(4)其中，是模N加法运算。特别地，当20k时，由式(3)和式(4)可以得到 1121122121(,)(,)(,)(,)E m kmE m kE m kE mm k(5)11221211221212(,)(,),)(,)(,)()mod()modD E m kE m kkkE m kE m kkkNmmN(6)从式(5)和式(6)可知，加法操作可以直接在加密数据上进行，而不需要对数据解密之后再进行。1.2 图像加密 对于一幅大小为WH的8 bit原始灰度图像，其像素值(,)0,255X i j，1iW，1jH。将原始图像分为nn的无重叠子块。其中，(/)Wn和(/)Hn为整数，则原始图像可以分为(/)(/)WnHn个子块，对每个子块依次记为,w hB,1,/wWn，1,/hHn。以 Lena 图像为例，原始图像的分块示意如图 2 所示。对于每个子块，按照“从左到右，从上到下”的扫描顺序，子块,w hB的像素依次记为,1w hp,2w hp.,w hn np。密钥1ek产生一个大小为(/)(/)WnHn的密钥流，对于同一个子块中的像素用同样的密钥进行加密，加密方式如下。图 1 本文算法框架 Figure 1 Framework of the proposed approach 第 4 期 肖文乾等：基于加法同态加密与多高位嵌入的密文域可逆信息隐藏 125 图 2 原始图像分块示意 Figure 2 Original image after blocking ,()mod2561,2iiw hw hw hcpkinn，(7)其中，,iw hc是加密之后的像素值，,w hk是加密密钥。本文对同一个子块的像素采用相同的密钥进行加法同态加密，最大程度地保留子块中像素相关。但是，这种加密方式也会使得加密后的图像可能保留了原始图像的轮廓。为了提高加密图像的安全性，对加密后的图像再以子块为单位进行Arnold置乱。置乱后的加密图像安全性将在2.1节中进行分析。Arnold置乱31的原理是把图像的每个像素点的位置进行移动，得到一个相对原图像混乱的效果。本文是以子块为单位，对每个子块的位置进行移动变化，同一个子块中的像素点保持原来的相对位置不变。根据置乱密钥2ek,利用Arnold置乱对加密图像进行置乱。对每个子块的位置进行如下变换。1mod1wbwNhaabh (8)其中，(w,h)是原始子块的位置，(w,h)是经过一次变换后子块的位置，a,b是参数，N是图像矩阵的阶数，即图像的大小，一般指正方形图像。可对子块的位置进行多次迭代变换，即利用式(8)进行重复多次置乱操作，以提升加密后图像的安全性。同时，保持子块内像素的相对位置不变，即保留子块内像素位置的相关性。1.3 加密后预留空间 根据式(9)，对加密后的图像计算同一个子块像素平均值作为该子块所有像素的预测值,prevw h。i依次表示子块中nn个像素。,11prevn niw hw hicnn(9)然后，依次得到子块的各个像素值与,prevw h之间差值的绝对值。,errprev,1,2,w hiiw hw hcinn(10)若,1err2iw hmi，则表明该像素的前8im高位可腾出用于信息嵌入。其中im从1开始进行条件判断，若满足则结束，最大值可到5。为了能够减少记录多个im的辅助信息，取子块中所有像素可嵌入比特的最小值作为子块内每个像素实际可嵌入大小，如下式所示。,MIN(8),1,2,w hitminn(11)其中，MIN()表示取最小值函数。当,37w ht时，表示该子块可嵌入，,blmw h标记为“0”，否则标记为“1”。,blmw h指坐标位于(,)w h的子块嵌入标记。为了能够保证子块内像素可逆，辅助信息,w ht的大小用3 bit表示。如果该子块满足嵌 入 条 件，其 可 嵌 入 的 总 容 量 大 小 为,w hnntbit。例如，图3(a)表示一个大小22的子块，子块中每个像素与预测值155相减再取绝对值得到图3(b)，根据式(10)得到子块内每个像素最大可嵌入容量，如图3(c)所示。然后根据式(11)取子块内所有像素最小嵌入容量作为该子块所有像素的实际可嵌入大小。最后，可以得到该子块可嵌入的总容量为24 bit，除去辅助信息预测值占用8 bit，,w ht编码3 bit，以及,blmw h标识位1 bit，最终该子块实际可嵌入秘密信息容量为12 bit。接下来，证明满足条件,1err2iw hmi的像素能 图 3 子块嵌入容量示例 Figure 3 Sub-block embedding capacity example 126 网络与信息安全学报 第 9 卷 够正确恢复原始值。注意到，已嵌密的加密像素1thmth LSB与原始加密像素值1thmth 的LSB一样。而(m+1)th8th MSB嵌入了秘密信息，故已嵌密的加密像素与原始加密像素值(m+1)th8th MSB存在不同。保持像素的1thmth LSB不变，(m+1)th 8th MSB的组合有82m种情况，假设1x、2x是其中两种情况所对应的像素值，则它们一定满足以下式子。122mxx(12)若1x、2x都满足式(10)，则有以下两个不等式。1,1prev2mw hx(13)1,2prev2mw hx(14)将式(13)、式(14)相加并根据绝对值不等式条件得到如下式子。12,1,2prevprev2mw hw hxxxx(15)则有式(12)与式(15)矛盾，所以1x、2x的值不可能同时满足式(10)。因此，这82m种情况所对应的像素值有且只有一个满足式(10)，即原始的加密像素值。1.4 嵌入秘密信息 嵌入信息的过程包括辅助信息的嵌入与秘密信息的嵌入。辅助信息包括，子块中每个像素可嵌入大小,w ht，占3 bit；预测值,prevw h，占8 bit；以及,blmw h标记，占1 bit；共12 bit。值得注意的是，在本文方法中，每个子块中每个像素至少嵌入3 bit，该子块的,blmw h才会标记为“0”，否则标记为“1”。因此，每个子块中所有像素的高3位就可作为辅助信息的存放位置。以图3为例，图4(a)展示了子块中每个像素都可嵌入6位，用二进制表示为“110”。图4(b)指该子块的预测值的二进制表示，因为该子块满足嵌入条件，因此,blmw h标记为“0”。图4(c)表示该子块的第一个像素高3位被替换为“110”，代表该子块像素可嵌入大小；接着子块内的第2与第3个像素的1th3th MSB，以及第4个像素的1th2th MSB用于保存8 bit的预测值。第4个像素的3th MSB用于存第一个像素最低位LSB，然后第一像素最低位LSB存该子块的标记,blmw h。这样能够使得在只拥有解密密钥时，结合辅助信息直接解密得到的图像更加逼近原始图像。当该子块不满足嵌入条件时，该子块只需嵌入1 bit辅助信息，即,blmw h标记，其嵌入位置为该子块第一个像素的最低位LSB。而原本该像素的最低位LSB则拼接在秘密信息后，同秘密信息一同嵌入。如图4(c)所示，剩余的“x”则用于嵌入秘密信息。为了提升安全性，秘密信息在嵌入之前可通过信息嵌入者密钥dk进行加密。秘密信息的嵌入过程如下。Step 1：加密图像按照同等大小划分为无重叠子块，按照式(9)计算同一个子块中的预测值。Step 2：利用式(10)、式(11)，分析子块中像素可嵌入容量。Step 3：当子块中任意一个像素嵌入容量不满足嵌入条件时，,blmw h对应子块标记为“1”，否则标记为“0”。Step 4：为了实现提取秘密信息和恢复图像的分离性，辅助信息,blmw h以及,w ht嵌入在每个子 图 4 子块中预留嵌入空间 Figure 4 Reserved embedding space in sub block 第 4 期 肖文乾等：基于加法同态加密与多高位嵌入的密文域可逆信息隐藏 127 块易检测位置，信息嵌入者和接收者共享。Step 5：根据,blmw h以及,w ht依次在每个子块中嵌入秘密信息。1.5 信息提取与恢复原始图像 当接收方只有信息隐藏者密钥时，能够根据共享的,blmw h以及,w ht无误地提取秘密信息。当只有加密密钥时，接收方也可通过共享的,blmw h以及,w ht直接解密原始图像，得到近似原始图像的内容。当接收方同时拥有信息隐藏者密钥以及加密密钥时，接收方能够无误地提取秘密信息并且无损地重构原始图像内容。本文方案可以无误地提取出信息，并无损恢复原始图像。信息提取与恢复原始图像的步骤如下。步骤1 秘密信息提取 当接收者拿到嵌入密钥dk后，根据嵌入规则，将嵌入后的加密图像按照大小nn进行无重叠分块。因为,blmw h以及,w ht都嵌入在每个子块的固定位置，容易被检测，所以优先提取辅助信息。首先，接收者提取子块中第一个像素的最低位LSB，即,blmw h标记，根据,blmw h标记内容判断该子块是否嵌入，如果,blmw h标记为“1”，则表示该子块不嵌入秘密信息，则忽略。如果标记为“0”，提取该子块第一个像素的1th3th MSB，得到子块嵌入容量,w ht。如果,3w ht，则从子块中每个像素的4th MSB开始提取秘密信息，提取方法如下。(3MSB)5,()mod21,2,1,2,(3)iiikkw hw hw hbccinn kt(16)其中,iw hc表示嵌入秘密信息后的像素，(3MSB),iw hc表示取,iw hc1th3th MSB，其余位补0。ikb表示在第i个像素嵌入的第k位秘密比特信息。步骤 2 恢复原始图像像素值 从每个子块第2和第3个像素提取1th3th MSB以及第4个像素提取1th2th MSB拼接出预测值,prevw h,再根据,w ht按照以下公式推算出嵌入前的像素值。,(MSB)(8)LSB,1,2,w hw htitiw hw hw hrxcinn(17),(MSB),w htw hx指低,8w ht位取0，高,w ht位从小到大循环取。,(8)LSB,w hitw hc指取嵌入信息后的加密像素,iw hc低,8w ht位，其余高位取0。,iw hr表示根据,(MSB),w htw hx与,(8)LSB,w hitw hc推算出的恢复值，如果满足式(10)，则唯一确定,iw hr为原始的加密像素值,iw hc。因为加密图像进行了置乱操作，所以需要将加密图像的子块还原到置乱前的位置。根据解密密钥2ek对图像进行还原，还原的方法如下。1mod1wabawNhbh (18)其中，(w,h)是(w,h)经过一次解密变换之后得到的子块的位置，根据密钥，利用式(18)进行重复变换，使子块的位置恢复到原始图像的位置。然后，根据解密密钥1ek（即加密密钥）可以恢复得到原始图像的像素值,iw hp，具体解密式子如下。,()mod256,1,2,iiw hw hw hpckinn(19)通过步骤1和步骤2，可以无误地提取出秘密信息，并且无损地恢复原始图像。2 实验分析 本节首先利用直方图统计分析、香农熵以及Arnold置乱效果评估该加密算法的安全性；接着分析图像重构后的峰值信噪比（PSNR，peak-signal-to-noise ratio）与结构相似性（SSIM，structural similarity），判断是否可逆；最后，分析图像实际嵌入容量大小，并与现有的一些优秀算法进行比较。本文选择信息隐藏常用的6幅标准灰色图像作为测试图像，如图5所示。为 (a)Lena(b)Baboon(c)Man(d)Airplane(e)Lake(f)Peppers 图 5 测试图像 Figure 5 Test images 128 网络与信息安全学报 第 9 卷 了 进 一 步 分 析 提 出 算 法 的 性 能，本 文 在BOWS-2数据集32上进行实验，分析其平均嵌入容量，并与现有的优秀方法进行比较。2.1 安全性分析 本文利用加法同态加密与Arnold置乱对原始图像进行加密。为了能够评估该加密算法的安全性，本文主要从直方图统计分析、香农熵以及Arnold置乱效果3个方面进行验证。（1）直方图统计分析 如图6所示，可以看到Lena、Baboon、Man、Airplane、Lake以及Peppers的原始图像和加密图像的像素分布直方图。与原始图像的像素分布直方图对比，加密图像的像素分布直方图分布平均，无法识别出图像特征信息。因此，从直方图统计特征的角度看，加密后的图像具有很强的安全性。（2）香农熵 香农熵又称为信息熵，用来衡量信息的信息量大小，其定义如下。1()()lb()hiiiH xp xp x (20)其中，H表示不同信号总的信息量，ix表示信号量，()ip x则是信号量ix出现的概率。对8 bit的灰色图像而言，图像的熵衡量一幅图像的混乱情况。图像熵越接近8，表示该图像越混乱，也就是攻击者越难在这样一幅图像中分析出信息。表1为不同测试图像在分成大小为22、44、8 8的子块分别进行加密后的熵值。可以看到，加密后的图像香农熵值相比未加密的原始图像更加接近8，这就说明加密后的图像像素特征更少，更加安全。由表中实验结果可知，分成22大小的子块的熵值最高，故其加密的安全性更高。表 1 不同大小的子块加密后的熵值 Table 1 Entropy after encryption of sub blocks of different sizes 测试 图像 原始图 像熵值 加密后 图像熵值（2 2）加密后 图像熵值（4 4）加密后 图像熵值（8 8）Lena 7.445 5 7.999 2 7.998 2 7.997 1 Baboon 7.357 9 7.999 3 7.999 1 7.998 7 Man 7.192 6 7.999 0 7.998 2 7.996 9 Airplane6.702 5 7.999 1 7.998 2 7.992 8 Lake 7.484 5 7.999 1 7.998 5 7.997 9 Peppers 7.571 5 7.999 3 7.998 7 7.997 4 注：加粗字体为每列最优值。（3）Arnold置乱效果 为了能够证明Arnold置乱对加密图像性能有进一步的提高，本文将Lena和Peppers图像作为测试图像，将子块大小设置为8 8进行加法同图 6 测试图像加密前与加密后的像素分布直方图 Figure 6 Pixel distribution histogram of test images before and after encryption 第 4 期 肖文乾等：基于加法同态加密与多高位嵌入的密文域可逆信息隐藏 129 态加密与Arnold置乱。然后对比原始、同态加密后以及同态加密后进一步进行Arnold置乱这3种图像形态。从图7中可以得到，只进行同态加密的图像保留了原始图像的轮廓，而置乱后的图像在视觉上完全混乱，无法识别图像内容。因此，可以证明Arnold置乱对图像加密安全性有了进一步提高。2.2 性能分析 为了能够评估本文算法的性能，主要从嵌入容量大小和重构后图像的视觉质量进行评估。1)嵌入容量大小 以每个像素能够嵌入的信息比特数（bpp，bit per pixel）作为嵌入容量评价指标。在所提算法中，每幅图像的总嵌入容量capc可以由下式得到。(/)(/),11capc()W nH nw hwhtnn (21)为了最后能够实现秘密信息无误提取且图像内容无损恢复，必要的辅助信息需要进行保留。如果子块满足嵌入条件，则,blmw h标记为“0”，辅助信息大小为12 bit。如果子块不满足嵌入条件，则,blmw h标记为“1”，辅助信息大小为1 bit。假设标记为“0”的子块数为0n，标记为“1”的子 块 数 为1n,可 推 出 秘 密 信 息 嵌 入 空 间 为capc120n 1n bit。对于一幅图像而言，子块的大小会决定图像最终嵌入容量大小，因而在选取的6幅图像中，本文分别以22、44、8 8子块大小来评估图像的嵌入容量。如表2所示。可以得知当图像以44大小为子块时嵌入容量最大。2)重构后图像的视觉质量 PSNR是一种评价图像的客观标准，如下式表示。2211(255)PSNR10lg1(,)(,)MNrijI i jI i jMN(22)其中，(,)rI i j表示恢复像素值，(,)I i j表示原始像素值。图像PSNR值越大，失真越小。本文方法能够在没有信息嵌入者密钥、只有加密密钥的情况下直接重构近似原始图像的图像内容。如果同时拥有加密密钥以及嵌入密钥，就能够无损恢复出原始图像内容。另一个用于评估两张图像相似性的指标是结构相似性（SSIM），其计算如下。表 2 不同大小子块的嵌入容量与嵌入率 Table 2 Embedding capacity and embedding rate of different large and small blocks 测试图像22 44 88 嵌入 容量/bit嵌入率/(bitpixel1)嵌入 容量/bit 嵌入率/(bitpixel1)嵌入容量/bit嵌入率/(bitpixel1)Lena372 7931.42 547 606 2.09 393 738 1.50 Baboon62 3480.24 115 555 0.44 38 5890.15 Man 335 0911.282 425 940 1.62 215 023 0.82 Airplane 486 3971.86 640 252 2.44 494 595 1.89 Lake227 3300.87 368 548 1.40 245 279 0.94 Peppers 327 5851.25 515 602 1.97 340 781 1.30 注：加粗字体为每列最优值。12222212(2)(2)SSIM(,)()()xyxyxyxyccx ycc (23)其中，x与y表示两张图像，这里可以认为是恢复的图像rI与原始图像I，其中x指x的平均值，y指y的平均值，2x是x的方差，2y是y的 原始图像 同态加密后图像 对同态加密后图像进行 Arnold 置乱 原始图像 同态加密后图像 对同态加密后图像进行 Arnold 置乱(a)Lena(b)Peppers 图 7 Lena 与 Peppers 的 3 种图像形态 Figure 7 Three forms of Lena and Peppers 130 网络与信息安全学报 第 9 卷 方差，xy是x与y的协方差，而1c与2c是用来维持稳定的常数，可以避免分母为0。当SSIM的值越接近1，表示两张图像相似度越高，如果值等于1，则证明两张图像完全一样。在本文中，直接重构的图像与原始图像之间的SSIM值接近于1。当得到信息嵌入者密钥时，完全恢复的图像与原始图像之间SSIM值为1，证明其完全一样。表3表5是不同测试图像在不同子块