抗统计分析的ISN随机增量协议隐写算法.doc

1、2008 年 11 月 Journal on Communications November 2008第 29 卷第 11A 期 通 信 学 报 Vol.29 No.11A抗统计分析的 ISN 随机增量协议隐写算法杨智丹 1，刘克胜 1，陈宇 2，陈建熊 1(1. 电子工程学院 网络系, 安徽 合肥 230037; 2. 北京大学 信息科学技术学院, 北京 100871)摘 要：为了增强网络隐蔽通道抵抗检测的能力，研究了协议隐写算法的透明性。通过对 Windows 2000 操作系统进行的 ISN（初始序列号）采样实验建立了系统的 ISN 生成模型，以此模型为基础提出了一种 ISN 随机增量协

2、议隐写算法。该算法可以逼真地模拟该平台上的 ISN 生成算法，产生的 ISN 分布在视觉和统计特征上与正常系统非常接近。采用相似度指标对实验结果进行了客观性评价，评价结果表明，隐写序列在相似度上逼近了用最小二乘法进行曲线拟合所得的序列，对于现有的统计隐写分析具有透明性。关键词：信息隐藏；协议隐写；网络隐蔽通道；隐写分析中图分类号：TP393.08 文献标识码：A 文章编号：1000-436X(2008)11A-0034-07Random incremental ISN algorithm of protocol steganography against statistical stegana

3、lysisYANG Zhi-dan1, LIU Ke-sheng1, CHEN Yu2, CHEN Jian-xiong1(1. Department of Network, Electronic Engineering Institute, Hefei 230037, China;2. School of Electronic Engineering and Computer Science, Beijing University, Beijing 100871, China)Abstract: In order to enhance the network covert channels

4、ability of detection-resistant, the invisibility for protocol steganography was studied. The ISN generation model of Windows 2000 was established through initial sequence number (ISN) sampling experiments of the operation system. With the basis of this model, a steganography named random incremental

5、 ISN algorithm was proposed. It could simulate ISN generation algorithm of the platform realistically, and its distribution of ISN was very close to the normal systems distribution in visual and statistical features. The results of experimental were evaluated objectively with similarity index. And t

6、he evaluation results show that the steganography sequences are similar to the sequences which come from least squares fitting method in approximation. So the algorithm is transparent to the existing statistics steganalysis.Key words: information hiding; protocol steganography; network covert channe

7、l; steganalysis1 引言隐写术是将信息（秘密信息、版权信息等）隐匿在其他信息（掩护载体）之中的技术，此处的载体包括常见的多媒体信息，也包括印刷电路板、DNA 序列、程序代码等非常规载体。在文献1的描述中，隐写术与隐蔽通道同属信息隐藏学科，其概念相互交叉，同时又共享许多相同的技术。协议隐写是一种隐写术，它在概念上限定了信息隐藏的载体是网络协议的数据包。虽然协议隐写在网络安全和服务质量上也有应用 2，其主要用途仍是隐蔽通信，此时，通常将这种通信信道称为网络隐蔽通道。网络隐蔽通道通过协议隐写以不为第三方知晓的方式传递秘密信息，以牺牲收稿日期：2008-09-11第 11A 期 杨智丹等

8、：抗统计分析的 ISN 随机增量协议隐写算法 35带宽的代价换取通信的隐蔽性，在现有的网络通信技术里独辟蹊径，具有广阔的应用前景。1996 年，文献3首次提出 OSI 七层模型中的每一层都可以进行信息隐藏，文献4提出利用协议隐写在 TCP/IP 协议中实现隐蔽通道，并实现了第一个隐蔽通道工具 Covert_TCP，文献5在 IP 标识字段中实现了协议隐写。2004 年，Rutkowska引入了被动隐蔽通道的概念 6，将隐秘信息经过 3重 DES 加密嵌入 TCP 的序列号字段，在 Linux2.4的内核实现了被动隐蔽通道 NUSHU。当前协议隐写的嵌入算法通常为直接嵌入型，为保证安全在嵌入前利

9、用加密算法对秘密信息进行保护 4,7。虽然网络协议数据包之间不存在数字图像像素点之间那样的强相关性，经典的 Chi-square、信息量估计等图像隐写分析方法 8无法直接应用于协议隐写的分析，但是早期公布的隐蔽通道工具大都属于概念证明型，还是能够从多方面被检测出来 9。由 于 协 议 隐 写 的 载 体 有 限 ， 已 有 工 作 大 多 集 中于 探 索 新 的 隐 写 载 体 上 ， 未 见 协 议 隐 写 抵 抗 隐 写 分析 的 研 究 ， 本 文 将 在 余 下 章 节 里 研 究 协 议 隐 写 算 法的 透 明 性 ， 以 达 到 使 网 络 隐 蔽 通 道 逃 避 检 测 的

10、目 的 。2 隐写载体的分析事实上，协议数据包的首部字段都存在各自的特征，而嵌入秘密信息的数据包往往会造成明显的特征异常。以 IP 标识协议隐写 4为例，虽然文献10针对这种隐写算法提出了隐写分析统计变量的构造方法和分析窗口内含密数据包比率的估计算法，但绝大多数操作系统产生的 IP 标识都是每次加 1、至 65535 归 0，只需分析标识的统计分布就可检测出隐写的存在。因此，类似于 IPID 的字段实际上不适合进行协议隐写，只有具有复杂统计特征的字段才是协议隐写的良好载体。利用 Raw Socket 对 IP、ICMP、TCP、UDP协议的所有首部字段进行协议隐写实验，发现超过一半的字段都可以

11、用来隐匿信息，但是从对抗隐写分析的角度考虑，TCP 的序列号字段用于隐蔽通信最为安全。TCP 占据目前大部分网络流量，其序列号是传输中必须使用的字段，因此文献9中基于流量与使用频度统计的方法无法感知 ISN中的隐写。此外，为了预防 TCP Reset 攻击，ISN要求不能被攻击者猜测 11，这使得各种操作系统产生的 ISN 都具有一定的随机性。如果协议隐写算法所产生的 ISN 能够模拟实际系统的 ISN 统计分布，此算法即获得良好的透明性，在理论上是不可检测的。3 ISN 通道与 ISN 生成模型图像隐写中，对透明性的评价一般采用均方误差和峰值信噪比，文献12提出了语法保持和语义保持两种度量协

12、议隐写透明性的方法。但此时的透明性还无法量化，只能从协议分析的角度进行主观模糊评价。文献13分析了 NUSHU 的透明性，利用 三 种 指 标 统 计 了 NUSHU 与 正 常 系 统 产 生ISN 分 布 ， 可 从 分 布 的 视 觉 差 异 上 发 现 NUSHU 的统 计 不 透 明 。 分 析 NUSHU 产 生 的 6 个 dump 文 件 6，其 中 分 别 包 含 Fedora2、 Redhat9 和 NUSHU 所 产 生的 11 万 个 数 据 包 ， 使 用 Winpcap 编 程 ， 从 中 提 取 出3 个 长 为 1 万 的 ISN 序 列 。 我 们 采 用 了

13、 多 种 分 析 方法 ， 由 于 篇 幅 所 限 ， 在 此只给出两者在“ISN 序列ISN 值 ”上的分布，如图 1 所示。(a) Fedora2 的 ISN 分布(b) NUSHU 的 ISN 分布图 1 Fedora2 和 NUSHU 的 ISN 分布对比隐写算法对 ISN 改写后，其统计分布与通道所依附系统的原始 ISN 存在区别，而 NUSHU 没有考虑混淆这种区别，从而造成其抗检测能力较36 通 信 学 报 第 29 卷弱。针对 NUSHU 的不足，以 Windows 2000(SP4)为例对现有的 ISN 隐写算法进行改进，首先实现基于 ISN 的隐蔽通信程序，信息在隐写时采用

14、直接嵌入的方法。对其 ISN 和系统实际的 ISN 进行比较，可以发现两者的统计特征差别巨大，如图2 所示。(a) 系统原始的 SEQ(b) 隐写后的 SEQ图 2 Windows 2000 和直接 ISN 隐写的 ISN 分布对比图 2 表明，RFC 虽然建议了健壮的 ISN 生成算法，但 Windows 2000 并没有采用此算法。为此，考察系统发起的 TCP 连接，对实际生成的 ISN 进行采样实验。采集的 ISN 具有相同的源地址、目的地址及目的端口，采样间隔为 1s，总共获得 359个 TCP 数据包序列总计 1 826 033 个序列号。在此将操作系统原始生成的 ISN 组成的序列

15、称为原始序列，以区别于协议隐写后的隐写序列。原始序列从外观上似乎呈线性增长，但事实并非如此，通过对系统产生的其他原始序列的分析发现，每个序列之间的统计特征都不相同，并且呈现出无规律的随机性。为此，将原始序列里的每个 ISN 与其上一个 ISN 作差，得到 ISN 的增量（记为 ISN） 。分析 ISN 可以发现，ISN 随时间增加，增加值在不停变化，但浮动范围有限。据此可以认为，Windows 2000 使用的是“时间相关”模型，PRNG 的作用只是地址和端口等信息来生成ISN 随机增量。4 ISN 随机增量协议隐写算法要使隐写分析者难以分辨出原始序列和隐写序列，必须得到原始序列的数理统计特征

16、，为不失一般性，选取一段到达 232 后归零的原始序列作为分析的基准对象，序列长度为 1 000，如图 3 所示。(a) 系统原始的 SEQ(b) 系统原始 SEQ 增量图 3 基准分析序列的 ISN 和 ISN 分布图 3 基准序列的 ISN 存在非规律间隔的脉冲，由于均值上下的脉冲明显不对等，因此不能简单认为其服从 Gauss 分布。用最小二乘法对基准序列分别进行线性回归，可得到如下所示的表达式：(1)55.0197.10yx=+其中，y 表示第 x 个 ISN 的值，式(1)将为后文的实验分析和评价所使用。分 析 基 准 序 列 的 ISN， 5.184105 相 对 于 232变 化

17、并 不 大 ， 并 不 难 发 现 219 与 此 值 近 似 ， 因 此 可第 11A 期 杨智丹等：抗统计分析的 ISN 随机增量协议隐写算法 37用 序 列 号 字 段 的 最 低 19 位 进 行 隐 写 。 这 种 隐 写 方法 与 图 像 隐 写 中 的 LSB 算 法 不 同 ， 嵌 入 的 信 息 被 隐藏 在 ISN 的 增 量 中 ， 故 称 之 为 ISN 随 机 增 量 协 议 隐写 算 法 ， 利 用 此 算 法 进 行 隐 蔽 通 信 的 原 理 如 图 4 所示 。发 送 端 和 接 收 端 需 要 共 享 一 个 ISN 作 为 起 始 值 ，发 送 端 将 需

18、 发 送 的 信 息 转 换 成 整 数 加 到 SEQ(0)上 ，每 次 发 送 都 以 上 一 个 SEQ 作 为 基 数 ； 接 收 端 收 到 数据 包图 4 ISN 随机增量协议隐写算法的通信原理后解析出 SEQ 值，将其与前面的 SEQ 作差，再经过反变换就可以提取出信息。该算法一次可传递19bit 的数据，比直接 ISN 隐写少隐藏了近一半的信息，但换取了较佳的透明性。由于无法保证秘密信息的每个字节的最高几位为全 1 或大多数为 1（如标准 ASCII 码的最高位为 0、EXE 文件存在大量的全 0 冗余等） ，因此无法将 ISN 控制在 219 附近。算法实现时，将序列号字段最

19、低 19 位中的最高 3 位全部置 1，实际只在ISN 的最后 16 位隐藏信息。这样再一次牺牲隐写效率，使 ISN 的最小值为 458 752（0x70 000） ，可望得到和真实系统较为相似的 ISN。实现基于ISN 随机增量隐写算法的隐蔽通信程序后，进行实际的数据收发，其间采集的 ISN 如图 5 所示。(a) TXT 及 HTML 文件产生的 ISN(b) HTML 及 RAR 文件产生的 ISN图 5 数据发送过程中采集的 ISN可以发现，只有 RAR 文件的 ISN 才呈现良好的随机性。为此，使用随机序列扩充 ISN 的分布，此处通过混沌映射产生随机序列。利用一维Logistic

20、映射方程作为随机序列发生器，其定义如下：X n+1=uXn(1Xn)，其中 0 Xn 1、nZ 。当 u=4.0、X 0=0.6 时，系统开始进入混沌状态，设置判决阈值为 0.5，X n 大于 0.5 判“1” ，反之判“0”。程序循环迭代 80 000 次，共生成 40 107 个“0”、39 893 个“1” ，过滤掉开始时的迭代 r 次（实验中取值 1 000） ，得到随机序列Kn(n=1,2,79 000)。在 发 送 前 将 Kn 逐 比 特 与 数 据异 或 就 可 以 产 生 统 计 特 性 良 好 的 密 文 ， 接 收 端 进 行异 或 操 作 可 恢 复 出 明 文 ， 上

21、 文 的 u、 X0、 和 r 作 为 密钥 为 通 信 双 方 所 共 享 。将 数 据 经 过 流 式 加 密 后 发 送 ， 所 传 输 的 文 件 类型 包 括 TXT、 BMP、 HTML、 EXE 和 DLL， 对 隐 写序 列 的 ISN 进 行 统 计 分 析 ， 发 现 ISN 已 逼 近 浮 动 范围 的 极 限 ， 其 方 差 非 常 接 近 ， 不 再 随 数 据 类 型 与 内容 的 不 同 而 出 现 剧 烈 变 动 。 但 是 ， 它 们 的 均 值 与 基准 序 列 的 5.184105 仍 有 27 200 的 差 距 。 因 此 ， 将 每个 ISN 加 上

22、 27 200 的 垂 直 偏 移 以 进 行 统 计 补 偿 ， 再为 每 次 发 送 添 加 类 似 基 准 序 列 的 随 机 脉 冲 进 行 特 征补 偿 。 在 接 收 端 ， 对 ISN 加 垂 直 偏 移 的 效 果 由 减 抵消 ， 随 机 脉 冲 则 因 为 其 值 在 正 常 范 围 之 外 而 被 过 滤掉 。 经 过 上 述 处 理 后 ， 隐 写 序 列 的 ISN 和 ISN 分 布的 最 终 效 果 如 图 6 所 示 。38 通 信 学 报 第 29 卷(a) 隐写序列的 ISN(b) 隐写序列的 ISN图 6 算法改进后的 ISN 和 ISN 分布需 要 说

23、明 的 是 ， 第 4 节 与 第 3 节 的 研 究 以 任意 选 取 的 基 准 序 列 为 基 础 ， 其 第 一 个 ISN 值 可 能不 是 隐 蔽 通 信 每 次 发 生 时 系 统 此 刻 的 真 实 ISN 值 ，故 在 不 同 的 环 境 中 实 际 通 信 时 ， 通 信 程 序 首 先 要得 到 系 统 此 时 真 实 的 ISN 作 为 初 始 值 并 使 其 被 通信 双 方 共 享 。 再 者 ， 每 隔 1s 就 发 送 一 个 SYN 置位 的 TCP 包 本 身 就 属 于 异 常 行 为 ， 上 文 所 取 的 时间 间 隔 仅 为 计 算 方 便 采 用

24、， 实 际 通 信 时 应 重 新 考虑 新 的 时 间 间 隔 。 另 外 ， 程 序 在 实 现 时 将 每 次 连接 开 始 的 源 端 口 号 进 行 了 递 加 ， 更 好 地 模 拟 了 系统 的 实 际 情 景 ， 该 值 在 实 际 通 信 中 同 样 应 取 系 统实 时 的 真 实 值 。5 实验结果分析与评价图 6 很好地逼近了基准序列的 ISN 和 ISN 分布，但仅凭视觉的判断很难保证评价的客观性，在此利用相似度指标对算法的透明性进行客观评价。由于均值、方差等统计指标不易给出相似度的直观度量，我们提出 3 种衡量协议隐写透明性（即原始序列和隐写序列间的相似度）的指标，

25、分别将其应用到实验结果评价上。首先定义评价的符号系统，ISN 序列是典型的时间序列，可将原始序列和隐写序列记为 S 和 S：S= x1=(v1,t1),x2=(v2,t2), xn=(vn,tn)，S =y1=(v1,t1),y2=(v2,t2), yn=(vn,tn)。其中 vi 是在时间 ti 上的观测值，所提出的 3 种相似度指标分别是规范化 Euclid 距离、向量夹角余弦和灰色关联度，此处仅给出最终的表达式。规范化 Euclid 距离(2)211Sim,in,iii inttinttiixy向量夹角余弦(3)1221Si,cos,iiii i inttit nttixyxy灰色关联度

26、将原始序列作为参考序列 14，记为 x0，待评价隐写序列作为比较序列，记为 xi。则 x0=x0(1), x0(2), , x0(n)，x i=xi(1), xi(2), xi(n)，其中i=1,2, ,N，那么序列 x0 与 xi 的相似度表达式如下：(4)0001Sim,Niiiirrkn其中，r 0i(k)是序列 x0 与 xi 在第 k 点的关联系数，如式(5)所示。 000() ()() ani iikiki i ii xk(5)其中，x 0(k)和 xi(k)是序列 x0 与 xi 无量纲化处理后的均值， 称为分辨系数，此处取其值为 0.5。由 于 序 列 间 的 相 似 度 越

27、高 ， 向 量 夹 角 余 弦 和灰 色 关 联 度 的 值 就 越 逼 近 1， 此 处 为 上 述 2 个 指标 设 阈 值 ， 由 式 (6)判 断 ISN 序 列 是 否 为 隐 写 序列 。(6),OrignalequcimJudeto取 的 值 为 0.9， 根 据 上 文 的 3 个 指 标 ， 对 隐写 算 法 的 透 明 性 进 行 评 价 。 NUSHU 的 参 考 序 列为 Fedora2 产 生 的 原 始 序 列 ， 评 价 序 列 为NUSHU 生 成 的 ISN 序 列 。 ISN 随 机 增 量 算 法 的第 11A 期 杨智丹等：抗统计分析的 ISN 随机增量

28、协议隐写算法 39参 考 序 列 为 图 3 的 基 准 分 析 序 列 ， 待 评 价 的 序 列共 11 组 ， 第 1 至 5 组 为 算 法 最 终 产 生 的 隐 写 序列 ， 随 后 是 直 接 ISN 隐 写 、 简 单 增 量 隐 写 、 结 合混 沌 加 密 的 隐 写 产 生 的 序 列 以 及 在 上 述 基 础 上 为ISN 加 上 统 计 补 偿 产 生 的 序 列 ， 第 10 组 是 曲 线拟 合 产 生 的 序 列 ， 最 后 是 NUSHU 生 成 的 序 列 。透 明 性 评 价 的 结 果 如 表 1 所 示 。表 1 隐写透明性评价的结果评价序列 规范化

29、 Euclid 距离 向量夹角余弦 灰色关联度1 0.002 237 63 0.999 997 57 0.998 030 172 0.003 125 66 0.999 997 84 0.998 327 673 0.002 485 66 0.999 997 96 0.998 289 924 0.002 561 05 0.999 997 98 0.998 215 425 0.002 343 07 0.999 998 27 0.998 247 336 7.871 830 47 0.757 600 75 0.661 156 257 0.039 031 37 0.999 998 51 0.998 458

30、 418 0.022 022 21 0.999 998 59 0.998 474 539 0.067 667 39 0.999 997 31 0.997 835 6710 0.001 862 53 0.999 998 27 0.998 355 6011 8.351 168 22 0.864 884 14 0.584 170 42从 表 1 可 知 ， 评 价 的 各 项 指 标 非 常 贴 近 实 际情 况 ， 同 时 也 从 数 学 角 度 佐 证 了 随 机 增 量 隐 写 算法 的 有 效 性 。 序 列 6 由 直 接 ISN 隐 写 产 生 ， 此 序列 得 到 最 差 的 评 价

31、在 预 料 之 中 ， 序 列 10 通 过 曲线 拟 合 获 得 的 表 达 式 产 生 ， 其 评 价 指 标 高 于 其 他所 有 序 列 ， 这 也 是 本 算 法 的 相 似 度 指 标 所 能 达 到的 理 论 上 限 。 另 外 ， 序 列 1 至 5 的 相 似 度 都 大 于阈 值 ， 无 法 被 检 测 出 ， 而 NUSHU 显 然 不 具 备 这样 的 抗 检 测 能 力 。6 结束语现有的协议隐写算法在对抗隐写分析上有许多不完善之处，本文着眼 TCP 数据包首部的序列号字段，对 ISN 隐写的透明性进行了研究。通过大量实验提出了一种 ISN 随机增量协议隐写算法，这种

32、算法根据操作系统生成的 ISN 序列近似线性增长的特点，结合混沌置乱、统计补偿与特征补偿等流程，可以逼真地模拟 Windows 2000 平台上的 ISN 生成算法 ， 产 生 的 ISN 分 布 在 视 觉 与 统 计特 征 上 与 正 常 系 统 非 常 接 近 。 首 次 采 用 规 范 化Euclid 距 离 、 向 量 夹 角 余 弦 和 灰 色 关 联 度 3 种 相似 度 指 标 对 实 验 结 果 和 NUSHU 进 行 了 客 观 性 评价 ， 评 价 结 果 表 明 ， 隐 写 序 列 在 相 似 度 上 逼 近 了用 最 小 二 乘 法 进 行 曲 线 拟 合 所 得 的

33、 序 列 ， 比NUSHU 具 有 更 强 的 抗 检 测 能 力 ， 对 于 现 有 的 统计 隐 写 分 析 具 有 透 明 性 。 我 们 今 后 的 工 作 是 研 究各 种 版 本 操 作 系 统 的 ISN 生 成 模 型 ， 使 算 法 有 自适 应 平 台 的 能 力 ， 并 以 此 算 法 为 基 础 在 应 用 层 协议 上 实 现 抗 统 计 分 析 的 协 议 隐 写 。致谢：感谢 605 室王永杰博士和汪松鹤讲师对本文提出的宝贵的修改意见，感谢 Joanna Rutkowska 为本文 NUSHU 抗 检测能力分析所提供的 dump 文件以及她的耐心解答和热心帮助。参

34、考文献：1 PETITCOLAS F A P, ANDERSON R J, KUHN M G. Information hidinga surveyA. IEEE Special Issue on Protection of Multimedia ContentC. 1999.1062-1078.2 杨榆, 钮心忻, 杨义先等.网络协议信息隐藏技术综述J. 哈尔滨工业大学学报,2006,38(增刊): 820-824, 856.YANG Y, NIU X X, YANG Y X, et al. Overview of protocol steganographyJ. Journal of Ha

35、rbin Institute of Technology,2006,38(sup): 820-824,856.3 HANDEL T, SANDFORD M. Hiding data in the OSI network modelA. Information Hiding WorkshopC. Cambridge,UK, 1996.23-38.4 ROWLAND C H. Covert channels in the TCP/IP protocol suiteEB/OL. http:/ 2008- 1-25.5 KUNDUR D, AHSAN K. Practical Internet ste

36、ganography: data hiding in IPA. ACM Workshop on Multimedia SecurityC. Juan-les- Pins, France,2002.6 RUTKOWSKA J. The implementation of passive covert channels in the Linux kernelA. Chaos Communication CongressC. Berlin, Germany, 2004.7 张杰, 刘镔, 周天阳等. 基于混沌的信息隐藏在 TCP/IP 协议族中的应用J. 通信学报, 2005,26(1A):121-

37、123.ZHANG J, LIU B, ZHOU T Y, et al. Information hiding in TCP/IP based on chaosJ. Journal on Communications, 2005,26(1A): 121-123.8 陈宇, 曲芳, 陈钟. 抗统计分析的随机 LSB 密写方案A. 第七届全国信息隐藏暨多媒体信息安全学术大会C. 南京,2007. 6-11.40 通 信 学 报 第 29 卷CHEN Y, QU F, CHEN Z. A random LSB steganographic scheme against statistical ana

38、lysisA. China Information Hiding WorkshopC. Nanjing, 2007. 6-11.9 BORDERS K, PRAKASH A. Web tap: detecting covert Web trafficA. 11th ACM Conference on Computer and Communications SecurityC. Washington,USA,2004. 110-120.10 刘 光 杰 , 戴 跃 伟 , 叶 登 攀 等 . 对 一 种 基 于 IP 标 识 协 议 隐 写 的 分析 J. 计算机工程,2007,33(24):1

39、36-137,140.LIU G J, DAI Y W, YE D P, et al. Steganlaysis against an IPIDs-based protocol steganographyJ. Computer Engineering,2007,33(24): 136- 137, 140.11 吕 艳 丽 , 李 肖 坚 , 夏 春 和 等 . 初 始 序 列 号 生 成 算 法 的 安 全 性 研 究J. 计算机研究与发展,2005,42(11):1940-1945.LV Y L, LI X J, XIA C H, et al. Research on the securit

40、y of initial sequence number generation arithmeticJ. Journal of Computer Research and Development, 2005, 42(11):1940-1945.12 LUCENA N B, PEASE J, YADOLLAHPOUR P. Syntax and semantics-preserving application-layer protocol steganographyA. 6th Information Hiding WorkshopC. Toronto,Ontario,Canada,2004.

41、164- 179.13 MURDOCH S J. Covert Channel Vulnerabilities in Anonymity SystemsD. Cambridge: Girton College of Cambridge University, 2007.14 刘思峰. 灰色系统理论及其应用M. 北京:科学出版社, 2004.LIU S F. Theory of Gray System and Its ApplicationM. Beijing: Science Press, 2004.作者简介：杨智丹（1981-），男，重庆人，电子工程学院硕士生，主要研究方向为信息隐藏、隐蔽通信、网络安全。刘克胜（1968-），男，安徽桐城人，博士，电子工程学院教授，主要研究方向为网络与信息安全。陈宇（1983-），男，江苏洋河人，北京大学博士生，主要研究方向为密码学、信息隐藏。陈建熊（1980-），男，陕西西安人，电子工程学院博士生，主要研究方向为安全协议形式化分析、信息安全。