抗攻擊的圖像水印技術(shù)綜述

李云亞，李冬森，付 蓉

（江蘇金盾檢測技術(shù)有限公司，江蘇 南京 210042）

0 引言

21世紀是一個數(shù)據(jù)大爆發(fā)的年代，在《數(shù)據(jù)時代2025》報告中顯示，全球每天數(shù)據(jù)量將達到491EB（EB：百億億字節(jié)）。從遠古時代的紙素書到今天的微信傳輸，智能終端的快速發(fā)展，讓互聯(lián)網(wǎng)傳輸變得司空見慣。互聯(lián)網(wǎng)帶來方便的同時，也面臨著巨大的安全隱患，數(shù)字作品在互聯(lián)網(wǎng)上被惡意抄襲和篡改。數(shù)字水印技術(shù)是主動保護數(shù)字作品的有效手段。數(shù)字水印技術(shù)可以在有爭議的數(shù)字作品上為鑒別真?zhèn)翁峁┖侠硪罁?jù)。圖像作為數(shù)字作品中占有一席之地，從繪畫作品到設(shè)計再到產(chǎn)品商標，對于這些圖像的保護就是對圖像背后的商家或是作者版權(quán)的保護。

1993 年Tirkel 等[1]人發(fā)表論文“Electronic Watermark”，這篇論文是圖像水印技術(shù)的開端，首次提出在數(shù)字圖像的空間域上修改最低有效位來隱藏信息（Least Significant Bit, LSB）。這種方法在數(shù)字圖像上極易實現(xiàn)而且操作也十分簡單，但是魯棒性很差，基本不具備抗攻擊的性能。1995年Cos等[2]人提出一個經(jīng)典的圖像水印算法，去修改頻域圖像中的DCT系數(shù)從而將水印信息隱藏到載體圖像中，但是這一方法是非盲水印需要提供原始未經(jīng)修改的載體圖像才能在解碼過程中得到水印信息，在實際操作中我們獲取到帶有水印的圖像很難找到?jīng)]有水印的原始載體圖像，這對水印的提取帶來很大的挑戰(zhàn)。1998年Ruanaidh等人提出一種經(jīng)典的抗RST（旋轉(zhuǎn)，縮放，平移）幾何攻擊的圖像水印算法，將水印信息嵌入RST幾何攻擊不會改變的Fourier-Mellin域中，從而使含有水印的圖像具備抗RST幾何攻擊的特性，此算法的提出為后續(xù)研究者研究抗幾何攻擊的圖像水印技術(shù)提供了新的思路。2000年以后很多技術(shù)的提出是根據(jù)離散余弦變換、離散小波變換和傅里葉變換這些技術(shù)進行改進的，這樣的改進也使圖像水印可以更好地抵抗幾何攻擊，而且含有水印的載體圖像的質(zhì)量也隨之提高。但是隨著信息時代的快速發(fā)展，對圖像水印的攻擊也不僅僅局限于幾何攻擊。抗JPEG壓縮攻擊的提出很快就得到了回應(yīng)，原始的基于離散小波變換和傅里葉變換的圖像水印技術(shù)，不僅具有抗幾何變換的性能也具備抗JPEG壓縮攻擊的性能。2010年Wang等人提出基于特征的半色調(diào)圖像水印方法，這個方法可以使圖像水印抵抗打印掃描攻擊。隨著手機逐漸成為大眾生活的必需品，從之前用掃描機來掃描圖像到現(xiàn)在用手機去拍照圖像，不管是手機拍照圖像還是用掃描機掃描圖像對圖像的攻擊不盡相同。2020年Matthew Tancik等[3]人提出用利用深度學習網(wǎng)絡(luò)研究圖像水印問題，提出了一種抗打印、拍照、旋轉(zhuǎn)、JPEG壓縮等攻擊的圖像水印技術(shù)。

自水印第一次被提出，水印的魯棒性就成為大眾關(guān)注的焦點，它是否具備抗攻擊的性能成為評價水印技術(shù)的一個指標。攻擊和抗攻擊是一對矛和盾，研究者不斷研究更魯棒的數(shù)字水印算法，攻擊者不斷修改攻擊的方式，二者博弈至今。

本文首先在圖像水印的基礎(chǔ)上，探究抗攻擊的圖像水印技術(shù)，其次將攻擊類型分類，傳統(tǒng)的分類方式是從攻擊者角度將水印攻擊分為：噪聲攻擊、同步攻擊、欺騙攻擊和共謀攻擊。本文從研究者出發(fā)將抗攻擊的圖像水印技術(shù)分為：（1）抗幾何攻擊的圖像水印技術(shù)，從21世紀開始圖像水印技術(shù)就圍繞著抗擊幾何攻擊展開，使水印圖像不斷具有抗旋轉(zhuǎn)、拉伸、縮放和剪裁等性能。（2）抗圖像處理攻擊的圖像水印技術(shù)，對圖像的銳化，高斯模糊，亮度的增加和降低，對圖像進行JPEG壓縮，這些對圖像的處理，都會導(dǎo)致水印無法提出。對圖像打印掃描和拍照可以看成是對圖像加了噪聲或者濾波，同樣會導(dǎo)致水印無法正常提出。最后，本文總結(jié)目前抗攻擊的圖像水印現(xiàn)狀和存在的問題并展望未來的發(fā)展方向。

1 相關(guān)知識

1.1 數(shù)字水印基本概念

圖像水印是信息隱藏的一個技術(shù)分支，通過將水印信息隱藏到載體數(shù)字媒介中，載體數(shù)字媒介可以是圖像、文本、音頻或是視頻。通過水印信息對數(shù)字作品進行版權(quán)保護，在發(fā)生版權(quán)糾紛時，提供有利的證據(jù)支持，為數(shù)字作品的版權(quán)歸屬和防止侵權(quán)提供有效的方式方法。數(shù)字水印技術(shù)可以通過加密算法將公司的商標，創(chuàng)作者的個人標簽和產(chǎn)品標識等嵌入數(shù)字作品，必要時通過解密算法可以測試數(shù)字作品中是否有水印信息，通過這種方式對作品進行版權(quán)保護。

1.2 數(shù)字水印嵌入和提取過程

數(shù)字水印技術(shù)可以分為水印的嵌入過程和水印的提取過程。水印的嵌入算法設(shè)計是依據(jù)水印的3個主要特征不可感知性、魯棒性和水印容量所設(shè)計的，不斷優(yōu)化嵌入算法使它在魯棒性和不可感知性提高的前提下盡最大可能提高水印的容量。提取算法要根據(jù)水印類型盲水印和非盲水印來設(shè)計，但實際需求中盲水印的實際價值要遠遠大于非盲水印的需求。數(shù)字水印的嵌入和提取過程如圖1所示。

圖1 數(shù)字水印的嵌入和提取過程

1.3 數(shù)字水印的分類

對于數(shù)字水印可以按照多種方法分類如下。

按照原始載體的類型進行分類，可以分為圖像水印、音頻水印、文本水印和視頻水印。現(xiàn)實生活中總會有來自不同數(shù)字載體的水印需求，這些數(shù)字產(chǎn)品的所有者都不希望在網(wǎng)絡(luò)傳播中受到侵權(quán)或是惡意破壞，當數(shù)字產(chǎn)品遭到侵權(quán)或者是惡意破壞時，數(shù)字產(chǎn)品的版權(quán)所有者因為數(shù)字產(chǎn)品上含有水印可以拿起法律的武器保護自己的權(quán)益。2020年張新鵬等人提出神經(jīng)網(wǎng)絡(luò)水印，目的是給那些發(fā)布在網(wǎng)絡(luò)上或是在云端的網(wǎng)絡(luò)框架加水印保護其版權(quán)。隨著信息技術(shù)的蓬勃發(fā)展和版權(quán)意識的不斷提高，需要用水印保護的數(shù)字產(chǎn)品遠不止是原來的圖像、文本、視頻和音頻，將來還會有更多類型的數(shù)字產(chǎn)品作為原始載體需要加水印保護版權(quán)。

按照水印的嵌入位置進行分類，分為空域水印和頻域水印。空域水印是將水印信息直接隱藏在空域信號中。典型的方法有最低有效位法、像素直方圖法和利用圖像信息之間的周期性和相關(guān)性法。空域水印操作相對簡單但是魯棒性較差。頻域水印是將水印信息隱藏在原始載體某種變換域的變換系數(shù)上。經(jīng)典方法有離散余弦變換（DCT）、離散小波變換(DWT)、傅里葉變換（DFT）和奇異值分解（SVD）。頻域水印與空域水印相比較具有很強的抗攻擊的特性。

按照人類的感知進行分類，分為可見水印和不可見水印。將不可見水印按照水印的抗攻擊的能力又可分為脆弱水印、半脆弱水印和魯棒水印。脆弱水印對攻擊的感知能力極強，用于原始載體的數(shù)據(jù)內(nèi)容完整性檢測和載體信息是否被破壞都可通過脆弱水印檢測出來。半脆弱水印是指對特定的操作具有魯棒性，而對其他操作不具備魯棒性。魯棒水印可以抵抗大多數(shù)攻擊，可以用于對原始載體的版權(quán)保護。

按照水印的提取方式進行分類，分為非盲水印和盲水印。非盲水印在水印提取時，需要提供原始的載體信息才能將水印提取出來。相反，盲水印在水印提取時僅需要提供含水印的載體即可得到水印信息。由于在實際應(yīng)用中載體信息很難獲取，所以相比較而言，盲水印在實際應(yīng)用中更為廣泛，實用價值更高。

1.4 數(shù)字水印衡量的基本指標

1.4.1 不可感知性

將水印嵌入原始載體，勢必會引起原始載體發(fā)生一些變化，原始載體的變化越不容易引起懷疑越不可感知，說明水印嵌入是成功的，因此引入峰值信噪比（PSNR）的概念計算載體在嵌入前后的變化從而去衡量含有數(shù)字水印的原始載體的不可感知性。通常情況下，水印嵌入前后峰值信噪比低于30 dB，說明水印的不可感知性比較差，相反如果水印嵌入前后峰值信噪比高于40 dB，肉眼很難看出水印嵌入前后的差別，說明水印的不可感知性較好。

1.4.2 魯棒性

數(shù)字水印的魯棒性可以用來衡量水印抗攻擊性的能力。數(shù)字水印在網(wǎng)絡(luò)或者是現(xiàn)實生活中都很容易受到各種各樣的攻擊，比如典型的幾何攻擊、壓縮攻擊、打印攻擊等等。為了評價水印的魯棒性，引入誤碼率（Bit Error Rate, BER）和歸一化相關(guān)系數(shù)（Normalized Cross Correlation）兩個評價指標。一般地，誤碼率越低表示提取出的水印信息正確率就越高，歸一化相關(guān)系數(shù)越低，則說明提取出的水印信息與原始水印信息相差很大，從而一個魯棒性強的算法它的誤碼率越低越好，相反，歸一化相關(guān)系數(shù)越高越好。

1.4.3 嵌入容量

衡量數(shù)字水印的另一個指標就是水印的嵌入容量，既要考慮水印的不可感知性，又要考慮水印的魯棒性，在這兩個性能的前提下還需要盡可能地提高水印的嵌入容量。水印的基本信息如圖2所示。

圖2 水印的基本信息

2 抗幾何攻擊的圖像水印技術(shù)

2.1 抗圖像變換攻擊的圖像水印

2.1.1 抗圖像變換攻擊的圖像水印

在圖像變換中最常見的就是RST（旋轉(zhuǎn)、縮放、平移）幾何變形，也是研究者在圖像水印中首先考慮的攻擊形式，在對圖像進行旋轉(zhuǎn)、縮放或者是平移操作后，水印是否能被順利提取出來。

1998年Ruanaidh等人提出一種經(jīng)典的抗RST幾何攻擊的圖像水印算法，將水印信息嵌入RST幾何攻擊不會改變的Fourier-Mellin域中，從而使含有水印的圖像具備抗RST幾何攻擊的特性。2001年Lin等[4]人對上述方法進行改進，利用Fourier-Mellin變換來對抗縮放和平移攻擊，但是算法仍然存在圖像質(zhì)量下降嚴重的缺點。基于Fourier -Mellion變換（FMT）的水印算法，利用傅立葉梅林變換不變量的理論，可用于產(chǎn)生抗旋轉(zhuǎn)、縮放和平移的水印。將水印嵌入Fourier-Mellin域。

2003年Zheng等[5]提出基于對數(shù)極性映射和相位相關(guān)的RST不變數(shù)字圖像水印。基于對數(shù)極坐標映射（LPM）和相位相關(guān)性，水印嵌入原始圖像的傅立葉幅值頻譜的LPM中，這樣水印不便于旋轉(zhuǎn)、縮放和平移（RST）。并使用原始圖像的LPM和水印圖像的LPM之間的相位相關(guān)性來計算LPM域中水印位置的位移，通過避免計算逆對數(shù)極坐標映射（ILPM）來保持圖像質(zhì)量，并通過使用相位相關(guān)來避免詳盡搜索，從而為未加水印的圖像生成較小的相關(guān)系數(shù)。

2008年Xiang等[6]人提出基于低頻域統(tǒng)計特征的不變圖像水印，對抵抗RST攻擊和隨機彎曲攻擊都具備良好的性能。基于低頻域統(tǒng)計特征，通過在圖像的高斯濾波低頻分量中使用兩個統(tǒng)計特征（直方圖形狀和均值）來提出圖像水印算法。

2009年Zheng等[7]人繼續(xù)提出一種數(shù)學建模與水印過程分析的RST不變圖像水印算法，利用數(shù)學方法來分析水印問題并且取得了很好的效果。數(shù)學建模與水印過程分析的RST不變圖像水印算法，基于旋轉(zhuǎn)不變特征和圖像歸一化的旋轉(zhuǎn)定標不變圖像水印方案。建立了基于混合廣義高斯分布的近似圖像的數(shù)學模型，可以促進水印過程的分析。使用基于最大后驗概率的圖像分割，將封面圖像分割為幾個均勻的區(qū)域。每個區(qū)域都可以由廣義的高斯分布表示，這對于從數(shù)學上分析水印過程至關(guān)重要。從分割區(qū)域中提取旋轉(zhuǎn)不變特征，并將其選擇為參考點。以特征點為中心的子區(qū)域用于水印嵌入和提取。圖像歸一化應(yīng)用于子區(qū)域以實現(xiàn)縮放不變性。同時，在建立的數(shù)學模型的基礎(chǔ)上，對水印的嵌入和提取方案進行了數(shù)學分析。使用噪聲可見性函數(shù)自適應(yīng)地調(diào)整水印嵌入強度，并通過數(shù)學分析錯誤概率，建立了不可感知性和魯棒性之間的數(shù)學關(guān)系。

2011年Lin等[8]人提出一種采用動態(tài)規(guī)劃的同步水印算法，對RST攻擊的抵抗方面變現(xiàn)突出。2012年Owalla 等人提出提出了一種既能抵抗信號處理又能抵抗幾何攻擊的魯棒數(shù)字圖像水印方案。

2.1.2 圖像變換攻擊類型分析

RST攻擊包括旋轉(zhuǎn)、平移和縮放，但是隨著計算機技術(shù)的日益精進演變出多種多樣復(fù)雜的圖像變換，不僅僅局限于旋轉(zhuǎn)、平移和縮放，還有放射變換、透視變換和隨機彎曲等等。該算法將水印以擴頻格式和用于壓縮圖像的矢量量化技術(shù)嵌入離散余弦變換域。旋轉(zhuǎn)、縮放和平移攻擊后水印的恢復(fù)是通過使用基于Harris角檢測器的特征點獲得Delaunay細分來完成的，該細分用于逆轉(zhuǎn)攻擊。 在RST攻擊導(dǎo)致在圖像上形成大量暗區(qū)的情況下，某些參考特征點會丟失，恢復(fù)的水印會很差或完全丟失。 此算法通過對鑲嵌中選定三角形的平均值進行估算，來估計RST攻擊的過程，從而達到抗RST攻擊的特性。

2.2 抗裁剪攻擊的圖像水印

剪裁攻擊一般會對圖像其中一部分剪裁或者隨機剪裁掉圖像其中一部分，在剩余圖像中依然可以提出水印信息。早在1999年 Hsu等人通過選擇性地修改圖像的中頻部分將水印信息嵌入圖像，從而達到抗裁剪的特性。在2001年上文中提到的Lin等人利用Fourier-Mellin變換來對抗RST攻擊，這個算法對裁剪攻擊依舊有很好的效果。

2003年Tang[9]提出一種結(jié)合圖像特征提取和圖像歸一化的魯棒數(shù)字圖像水印方案，它不僅可以抵抗裁剪攻擊還可以抵抗幾何失真和濾波攻擊。它采用MHW（Mexican hat wavelet）尺度交互作用的特征提取方法。

在上文提到的2008年Xiang 等人提出基于低頻域統(tǒng)計特征的不變圖像水印，也可以抵抗裁剪攻擊。

2015年Zong等[10]人提出基于魯棒直方圖形狀的圖像水印方法，該方法在嵌入過程中通過高斯低通濾波器對主機圖像進行預(yù)處理。然后，使用密鑰來隨機選擇多個灰度級，并且構(gòu)建關(guān)于這些所選灰度級的濾波圖像的直方圖。此后，引入直方圖形狀相關(guān)索引以選擇像素數(shù)最多的像素組，并在選擇的像素組和未選擇的像素組之間建立安全帶。提出了一種水印嵌入方案，以將水印插入所選的像素組中。直方圖形狀相關(guān)的索引和安全帶的使用導(dǎo)致了良好的魯棒性。此外，在嵌入方案中還使用了新穎的高頻分量修改機制來進一步提高魯棒性。在解碼端，基于可用密鑰，識別出加水印的像素組，并從中提取水印。這種方法可以抗擊裁剪攻擊和隨機彎曲攻擊。

2018年 Loan等[11]人提出了一種適用于灰度和彩色圖像的基于混沌加密的盲數(shù)字圖像水印技術(shù)，可以抵抗裁剪攻擊。論文提出了一種適用于灰度和彩色圖像的基于混沌加密的盲數(shù)字圖像水印技術(shù)。在將水印嵌入宿主圖像之前，先使用離散余弦變換（DCT）。在應(yīng)用DCT之前，主機圖像被劃分為8×8個非重疊塊，并且通過修改相鄰塊的DCT系數(shù)之間的差來嵌入水印位。

2020年Meenpal等[12]人提出基于對偶樹復(fù)小波變換的數(shù)字水印技術(shù)，使用對偶樹復(fù)小波變換的新技術(shù)進行數(shù)字水印的方法。通過將RGB圖像轉(zhuǎn)換為YUV通道，將水印嵌入色度級別中。這樣做是因為色度水平對人類視覺系統(tǒng)的感知較小，使用預(yù)定義的低通濾波器會生成感知蒙版，這會增加水印的不可感知性。同時也具備抗旋轉(zhuǎn)和裁剪的特征。

3 抗圖像處理攻擊的圖像水印技術(shù)

3.1 抗濾波和噪聲攻擊的圖像水印

濾波攻擊分為高斯濾波和中值濾波兩種攻擊，但是由于濾波攻擊并非主流研究方向，僅找到上文提到的2003年Tang提出一種結(jié)合圖像特征提取和圖像歸一化的魯棒數(shù)字圖像水印方案，可以抵抗幾何失真和濾波攻擊。對圖像加噪聲會對水印的提取造成一定的干擾，一般噪聲攻擊對圖像加入高斯噪聲。基于DFT，DCT，DWT和SVD等這樣的技術(shù)和算法，都可以抵御噪聲攻擊。近幾年迅猛發(fā)展的深度神經(jīng)網(wǎng)絡(luò)架構(gòu)，基于深度學習的水印技術(shù)對噪聲攻擊的抵抗效果也良好，這里不引入論文贅述。

3.2 抗JPEG攻擊的圖像水印技術(shù)

隨著互聯(lián)網(wǎng)通信的快速發(fā)展，在互聯(lián)網(wǎng)中傳輸圖片信息也越來越普遍，在傳輸過程中圖片會被壓縮，最常見的壓縮是JPEG壓縮。JPEG壓縮的過程圖如圖3所示。

圖3 JPEG壓縮的過程

2003年Afzel[13]提出了一種新的半盲水印修正離散余弦的JPEG圖像技術(shù)轉(zhuǎn)換（MDCT）。但是半盲水印在水印提取時需要提供原載體圖像，由于原圖像在實際生活中很難獲得，所以這個技術(shù)有很大的局限性。

2010年Wang Xiangyang提出一種基于特征的半色調(diào)圖像數(shù)字水印方法。利用多尺度從主體半色調(diào)圖像中提取特征點哈里斯-拉普拉斯探測器和局部特征區(qū)域（LFR）是根據(jù)特征構(gòu)造的規(guī)模理論。其次，對LFR執(zhí)行離散傅里葉變換（DFT），然后進行嵌入并根據(jù)幅度譜信息自適應(yīng)地選擇位置（DFT系數(shù)）。最后，通過量化所選水印的幅度，將數(shù)字水印嵌入到LFR中DFT系數(shù),這種方法就解決了上述的半盲水印的局限。

3.3 抗打印掃描拍照攻擊的圖像水印

之前研究的內(nèi)容就是對互聯(lián)網(wǎng)上的圖像水印進行各種攻擊，但是現(xiàn)實世界中對水印也有很多的應(yīng)用，包括將含有水印的圖像從打印機中打印出來，和在用掃描機將其掃描回計算機中提取出水印。手機漸漸成為生活的必備品，用手機拍照上傳至互聯(lián)網(wǎng)中來代替以前用掃描機將圖片掃描到計算機中，從打印到掃描或者是拍照都對含有水印的圖像是一種攻擊。

2004年牛少彰等人提出抗打印掃描的數(shù)字水印魯棒性，文章中發(fā)現(xiàn)打印之后的圖像和打印之前的圖像DCT系數(shù)是幾乎不變的，算法將分塊的圖像進行DCT變換，然后將所有的DCT系數(shù)按照位置進行特殊的分組，通過一定的嵌入強度調(diào)整每組中DCT系數(shù)正負號的個數(shù)來實現(xiàn)水印信息的嵌入。

2005年Yu等人提出基于DFT的水印技術(shù)，將水印信息嵌入到幅值中得到含水印的幅值譜，通過DFT逆變換得到含水印圖像。

2010年洛錦提出一種基于CIELab色彩空間分塊DCT變換域的彩色圖像盲水印算法，算法中通過對打印掃描前后DCT系數(shù)的統(tǒng)計,根據(jù)對DCT系數(shù)的詳細分析,將水印信息嵌入到L分量DCT系數(shù)的中頻區(qū)域，每3個DCT系數(shù)為一組嵌入一位水印信息，通過調(diào)節(jié)中間值到兩端值之間的距離進行水印的嵌入。算法很好地利用了DCT系數(shù)的冗余性，大大提高了水印的容量。

2014年Mirza提出一種基于混合域的抗打印掃描數(shù)字水印技術(shù)，將水印信息及嵌入空域中也嵌入到頻域中，這樣提高了數(shù)字水印的魯棒性。在此期間很多研究者基于DCT和DFT技術(shù)做出改進和創(chuàng)新提出抗打印掃描的圖像水印技術(shù)。

2020年Tancik等[3]人提出基于深度學習的圖像水印技術(shù)，利用神經(jīng)網(wǎng)絡(luò)架構(gòu)對水印進行嵌入和提取。在抗打印掃描和拍照方面有著良好的效果。但是也有很多不足之處，比如水印容量較小，并且圖像質(zhì)量不如傳統(tǒng)方法嵌入水印的圖像質(zhì)量好。

4 結(jié)語

本文對抗各種攻擊的圖像水印進行歸納和總結(jié)，將攻擊類型分類，總結(jié)各種攻擊類型所應(yīng)用的圖像水印技術(shù)，在歸納中發(fā)現(xiàn)很多圖像水印算法抗某種攻擊的能力不是單獨存在的，往往一個圖像水印算法可以抵抗多種攻擊類型。但是隨著科學技術(shù)的不斷發(fā)展和進步，提出各種各樣的新的攻擊形式，這也對圖像水印的研究者帶來新的挑戰(zhàn)。深度學習和神經(jīng)網(wǎng)絡(luò)的普遍應(yīng)用，讓圖像水印有了與傳統(tǒng)圖像水印截然不同的嵌入和提取方法，基于深度學習的圖像水印抗攻擊的性能良好，但是在水印容量、圖像質(zhì)量和算法復(fù)雜程度上還有改進的空間，給研究人員帶來了新的研究方向。