图像取证:源识别和伪造检测(Image Forensics: source identification and tampering detection)
图像取证：源识别和伪造检测
ImageForensics: source identification and tampering detection
作者：IreneAmerini 佛罗伦萨大学 MICC
中文翻译：xizero00 常熟理工学院(CSLG) 下一代互联网实验室NGIL
这是一篇意大利佛罗伦萨大学的PHD论文，翻译仅供参考，欢迎提出您的宝贵意见。谢谢^_^，这里先给出翻译出来的第一章，以后会陆续给出下面几个章节。我的联系方式是[email protected],您可以而把翻译中存在的错误和不足或者不恰当的地方指出来告诉我。PS：CSDN的编辑器我不敢恭维，太不方便了......
附上原文的PDF下载地址http://www.micc.unifi.it/publications/2011/Ame11/amerini-phd11.pdf
1.数字取证简介
在犯罪调查中用科学的方法获取真相的过程被定义为取证科学。这一术语(forensics)来源于拉丁文的“forum”，其含义为“中央广场”(中央广场是古罗马进行政治讨论，会议以及听证会的地方)。
取证科学可以根据证据的不同而划分为不同的子类(见图1.1经典取证领域通常处理的是物理证据，而数字取证则处理数字形式的证据。)
特别是数字取证科学随着最近十年的电子犯罪应运而生。在2001年第一届数字取证研讨会上给出了数字取证科学的第一定义，考虑到完整性，下面直接给出原文。
“The use of scientifically derived andproven methods toward the preservation, collection, validation, identification,analysis, interpretation, documentation and presentation of digital evidence derivedfrom digital sources for the purpose of facilitating or furthering thereconstruction of events found to be criminal, or helping to anticipate unauthorizedactions shown to be disruptive to planned operations .”
数字证据这一术语的含义是指任何能够提供证据的信息，这些信息包含存储的或者以数字形式传输的数据，他们都可以用在法庭上作为证据。
在过去十年里，在案例中使用数字证据的也越来越多，比如电子邮件，数码照片，Word文档，及时消息历史记录，浏览器的历史记录数据库、计算机内存中的数据、GPS跟踪数据，数字影像或者声音文件等等。
正如任何证据一样，数字证据的提供者必须为数字证据提供一个恰当的理论基础，即真实性和可靠性。并且有时候，法庭为了能够提供一个更为恰当的理论基础也会要求验证数字证据的真实性和可靠性。
总而言之，如果数字证据有很高的真实性，那么司法实践就会很顺利，但是目前仍然没有任何关于数字证据的指导意见可以遵循。美国法律报告仅仅给出了一些建立更严格的数字证据基本规范的方法。在英国，数字证据是否被允许作为证据由最佳司法实践指南决定，该指南由首席警官协会起草。
数字取证科学被分为几个子分支主要包括计算机取证、网络取证、数据库取证、移动取证以及最近发展起来的多媒体取证。
在计算机取证中，取证者想要从相关的计算机中获得可信的证据通常需要遵循一套标准的过程规范：在待取证计算机被物理隔离后确保作为证据的计算机没有被污染，这里的污染主要是指的被使用或者删除或者修改数据等等。然后取证者复制该计算机中硬盘的数据，所有的取证工作都必须在被复制的数据上进行。取证者通过使用各种技术手段以及取证工具去检查从硬盘中复制出的数据，搜索隐藏的文件夹，检查已经被删除成为未被使用的的磁盘空间，检查加密或者被损坏的文件等等。
网络取证中，通常通过分析网络事件来发现安全攻击。
数据库的取证主要集中于数据库系统中欺诈事务的识别。
移动设备取证主要是从任何包含有内部存储体并具有通信功能的移动设备或数码设备中恢复数字证据。
多媒体取证主要处理数字表示部分的真实性，比如验证从数码相机或视频录像机中摄取的图像、视频或者声音的真实性。多媒体取证的主要目标就是证明该数字证据可以用于法庭判决，因为证据是否可靠且真实的影响着判决的最终结果。在第二章将详细介绍如何实现多媒体取证并深度探索多媒体取证技术。接下来将给出本文所关注的图像取证问题的简要介绍。
很多年以前图像就失去了它的真实性，第一台商用模拟相机投入使用后不久，摄影师们就开始了对照片的修改。比如美国总统亚伯拉罕林肯的肖像是伪造的，该肖像是通过剪接林肯的脑袋和政治家约翰的身子拼合而成见图1.2。
另一个被报道的例子就是为了让贝尼托·墨索里尼看起来更加英勇，在原照片中牵马的人被去除了，见图1.3。
随着数码相机、更加强劲的个人电脑以及更方便的照片剪辑软件的出现，数字图像的修改变得越来越常见和容易。数字图像在杂志的封面上，报纸上，法庭上整个因特网上随处可见。图像可以很轻松地被修改，有时候，我们必须知道我们所看到的究竟是真的还是假的。而用来制作伪造的图像的工具越来越成熟，让每一个人都可以伪造图片。最近几年，伪造的图像已经影响到了科学、法律、政治、媒体以及商业等各个领域。而另一方面伪造检测工具却处于初始阶段，因此开发这些工具迫在眉睫。
最近，在报纸以及杂志封面上出现了大量的伪造图像的例子。图1.4和图1.5给出了流行杂志中出现的被修改的图像。
图1.6给出了另一个例子，在2003年的洛杉矶时报的封面上的照片是一个战地摄影师篡改而成的，该图像是通过将两幅图像组合成为一幅图像制作而成。
图1.7为各大报纸在伊朗导弹发射测试的头版报道所用的图片，在公开这幅图片之后，人们发现右边的第二颗导弹是人为地添加上去的，而真实的情况是那颗导弹并没有发射，它还在地上！
另一幅图片如图1.8所示，该图是首相BenjaminNetanyahu(位于照片的中部偏左)和总统ShimonPeres(位于照片的中部偏右)和内阁成员。以色列报纸Yated Neeman从照片中移除了两位女性内阁成员，然后用男性成员替代了她们。
心理学研究表明人们记忆的内容可以通过查看篡改的图片而被改变，但是某些图片可能会影响公众对于名人的观点(比如图1.5)，而在政治方面比如图1.6，1.7，1.8，在科学和法律方面玷污在公众面前形象的图片可能会引起严重的连带后果。比如在2007年密苏里大学的教授R.Michael Roberts和其合著者在被发现论文中所使用的图片是伪造的之后取消了他们在科学杂志发表的论文。
有时候在某些场景中知道图片是否真实并了解作为证据图片的来源会更加有效。比如在法律上，美国本土儿童色情预防法案(1996年CPPA)中禁止虚拟儿童色情就包括那些利用计算机制作出用于描绘未成年人性行为的图片。2002年，美国最高法院即宣布CPPA为第一修正案(修正CPPA中这一条款)。该决定是基于这样一个事实，即虚拟儿童色情图片的制作并没有直接伤害到儿童，所以这些图片是受到言论自由的保护的，并不应该被禁止。修正该法案的一个副作用就是人们开始指责那些原本是人造的儿童色情的图片却辩称是计算机生成的儿童色情图片。因此，在儿童色情案件中，原告必须证明某个图像确实是从某个特定的摄像头摄取的，而不是计算机生成的图像。这就像在调查射出的子弹的案件中，取证者会将子弹和枪管进行匹配，如果有足够可靠的证据说明子弹和枪管是匹配的，才能够在法庭上证明该子弹是从这把枪射出的。数字图像来源的调查也和这类案件类似，必须找到可靠的证据证明某幅图像的确是从该摄像头摄取的。
设备识别也可以被用在鉴别利用数码摄像机在电影院进行盗版的活动，盗版者获得相对良好的质量的副本之后会将盗版影像卖给黑市或者转码成低码率的非法影像在因特网散发。取证技术能够鉴别来自同一个摄像机的两个片段或者两种转码版本的影片是否拥有同样的来源，这将会极大地帮助取证调查者得到在不同实体和主题之间的联系并将可能成为起诉盗版者的关键证据。
此外，取证分析可以帮助调查者鉴别原始的多媒体内容和非法副本。在各种场景中会有不同类型的图像获取设备包括数码摄像头、扫描仪、手机、PDA、数码摄像机以及利用图像渲染软件生成的摄像机照片般逼真的图像或者视频等等。在所有的这些例子里，图像的真实性和可靠性是一个共同的问题，我们需要一个解决此问题的确切方案。
1.1贡献
本文将着重研究源图像设备的辨别，伪造图像的检测等内容。在接下来的章节中将介绍4种新的图像取证方法。在每一种方法中，都详细地描述了该方法的使用条件，数学模型，并给出我们基于真实图像的实验结果并验证其有效性。在第3章中将介绍分辨数码相机产生的图片和扫描仪产生的图片的方法。在第4章中将介绍在源设备识别中所使用的不同降噪滤波器的分析。在第5章将介绍如何将来自给定集合的图像进行分组，该图像来自一个未知的数码摄像头。在第6章将介绍如何检测伪造的图像，特别是通过复制-粘贴方法伪造的图像。在第7章将简短地讨论多媒体取证的一个新的话题即对一个设备(比如摄像头)的输出进行定序，这个问题被称为“时间取证”。