1.   引言

密文域可逆信息隐藏^[1](Reversible Data Hiding in Encrypted Domain, RDH-ED)将密文图像作为载体，能够在密文图像中嵌入额外信息，并且在准确提取额外信息的同时又不对原始图像造成任何失真。RDH-ED为用户提供了隐私保护和密文检索与管理的功能，可应用于军事、远程医疗、司法取证等既要求载体安全，又要保证载体无失真重构的领域。近年来，随着社交媒体与云计算等领域的不断发展，数据隐私保护的需求日益紧迫。秘密共享(Secret Sharing, SS)作为一种重要的多方安全密码体制，利用门限函数将重要数据分割成不同的份额存储在不同用户端，当部分数据份额遭受攻击或者损坏时，能起到分担系统风险，增强数据容灾的作用。然而，如何在不泄露用户隐私的情况下，对这些数据份额进行认证、管理与检索是当前亟待解决的问题之一。本文将图像秘密共享方案与密文域可逆信息隐藏相结合，不仅能实现多用户场景下的图像容灾，还能将额外信息可逆地嵌入密文图像，实现对密文图像的认证、管理与检索等功能。

RDH-ED根据应用场景可分为：信息隐藏单用户模型与多用户模型。其中单用户模型是当前研究的热点，主要有加密后生成冗余(Vacating Room After Encryption, VRAE)、加密前生成冗余(Vacating Room Before Encryption, VRBE)和加密过程冗余(Vacating Redundancy In Encryption, VRIE)3种框架。在VRAE框架下，Puech等人^[2]最早提出了AES加密后腾出空间的方法，额外信息只能在标记图像解密前根据图像局部标准差提取；随后，Zhang^[3]基于流密码加密后，通过翻转3个最低有效位腾出空间，只有在标记图像解密后才能利用图像局部特性定义的波动函数提取秘密信息；为了实现算法的可分离性，Zhang^[4]通过无损压缩密文图像生成冗余的方法首次提出了可分离的方案，但是嵌入率较小。VRBE模式即在图像加密前利用图像的相关性或者其他预处理操作生成冗余，实现方式主要有：基于无损压缩^[5,6]、基于像素预测^[7-9]和基于频域变换^[10]等方法。这类算法充分压缩了自然图像的冗余，实现了大容量的可逆嵌入。Wu等人^[11]在加密前通过自嵌入的方法腾出冗余，并利用Paillier密码的同态特性和自盲属性提出了两种嵌入算法，实现了算法的可分离性。然而，复杂的预处理操作难以在实际应用中实现，存在一定应用局限。Zhang和Ke等人^[12,13]首次提出了基于VRIE的RDH-ED方案，通过量化LWE加密后的密文空间，并利用密文扩展产生的冗余嵌入秘密信息；Huang等人^[14]利用预测误差在流密码加密过程中腾出冗余空间，提升了嵌入容量。近年来，Chen等人^[15]首次提出了基于Paillier公钥加密的算法，利用同态性质在密文域嵌入信息，解密后的明文仍能保持嵌入信息的相关特性，但是嵌入信息后存在部分像素溢出的情况；Wu等人^[16]通过解决溢出问题改进了文献[15]的方法，同态加密算法的安全性依赖于长密钥，这会增大计算开销并带来严重的数据扩展。为了解决上述问题，Wu等人^[17]首次提出了基于秘密共享加密的RDH-ED算法，将原始图像用秘密共享加密分割成多幅与原始图像大小相同的影子图像，再通过差值扩展和预测误差直方图平移的方式将秘密信息嵌入到影子图像中，有效解决了加密开销大和数据扩展严重的问题。之后，Chen等人^[18]利用多秘密共享的加法同态性质并结合差值扩展的方式将秘密信息嵌入一对像素中，进一步减小了时间复杂度。Ke等人^[19]基于中国剩余定理提出了一种可分离的RDH-ED，该方案通过组合两种嵌入方法实现了可分离性。

2020年，Chen等人^[20]首次针对信息隐藏多用户场景，基于秘密共享加密提出了两种联合、两种可分离的RDH-ED框架并提供了一种具体的可分离方案，它将载体图像分割成多幅与原始图像大小相同的影子图像，并分发至多位用户以独立地嵌入额外信息；当其中部分用户管理的含密图像遭受攻击或损坏时，仍可根据其他用户重构原始图像，进一步增强了图像的安全性。然而，该算法没有完全实现多用户的独立嵌入，嵌入前需要根据用户数量为每位用户分配指定的嵌入位置，导致用户间彼此制约且影响嵌入容量。此外，在提取额外信息的过程中，没有发挥秘密共享门限效应的技术优势，即当部分用户管理的影子图像遭受攻击或损坏时，无法提取额外信息。

本文面向信息隐藏多用户场景，设计了一种基于多项式秘密共享的图像密文域可逆信息隐藏算法，该算法在不同门限方案和影子图像压缩率的条件下，均能实现大容量的可逆嵌入，可以有效减小数据扩展，充分发挥图像秘密共享技术的门限优势，增强原始图像与嵌入信息的容错性和抗灾性。

2.   相关知识

2.1   秘密共享

Shamir^[21]最早提出了基于拉格朗日(Lagrange)插值多项式的秘密共享方案，该方案将一个秘密分割成$n$份影子后分别供不同的参与者享有，只有收集$k$份或更多有效影子才能重构秘密，任何少于$k$份有效影子的重构都是无效的。将秘密共享应用于图像共享时^[22]，为了避免像素溢出将方案构建在有限域${\text{GF}}({q^m})$的代数结构上，其中$q$为素数，$m$为正整数。

定理1　对任意k个互不相同的点$({x_i},\psi ({x_i}))$，都可由Lagrange插值法确定唯一的$k - 1$次多项式。

式(1)为Lagrange插值公式。

秘密分割。首先，由秘密$s$和秘密$w$分别构造一个$k - 1$次多项式$F(x)$和$\varphi (x)$，如式(2)和式(3)。然后，为参与者集合${{P}} = \{ {P_i}|i = 1,2, \cdots ,n\}$中的每位参与者生成与其身份属性相关的共享密钥$\{ {x_i}| i = 1,2, \cdots ,n\}$。最后，分别计算$F({x_i})$和$\varphi ({x_i})$即可将秘密$s$和秘密$w$分割为$n$份影子${\text{S}}{{\text{H}}^s} = \{ {\text{SH}}_i^s = F({x_i})| i = 1,2, \cdots ,n\}$和${\text{S}}{{\text{H}}^w} = \{ {\text{SH}}_i^w = \varphi ({x_i})|i = 1,2, \cdots ,n\}$。

其中，${a_i}$与${b_i}$均为随机数，且满足$s,w,{a_i},{b_i} \in {\text{GF}}({q^m})$，$i = 1,2, \cdots ,k - 1$。

秘密共享方案具有加法同态性，即密文影子相加等价于对应明文秘密相加，可表示为${\text{Enc}}(s) + {\text{Enc}}(w) = {\text{Enc}}(s + w)$，其中${\text{Enc}}$为秘密分割操作。若将秘密$s$和$w$分割后的$n$份影子相加，则生成的新影子${\text{S}}{{\text{H}}^o} = \{ {\text{SH}}_i^o = {\text{SH}}_i^s + {\text{SH}}_i^w|i = 1,2, \cdots ,n\}$等效于使用多项式$\pi (x)$分割的。

其中，$(s + w)$及$({a_i} + {b_i}) \in {\text{GF}}({q^m})$。

秘密重构。根据定理1可知，从影子${\text{S}}{{\text{H}}^o}$中任意收集k份影子，可以由Lagrange插值法重构秘密$s + w$及其他各项系数${a_i} + {b_i}$。

2.2   矩阵编码隐写

矩阵编码隐写^[23]是一种基于线性变换且遵循最小嵌入失真原则的隐写方法，相比基于最低有效位(Least Significant Bit, LSB)嵌入的方法，该方法对载体修改的平均次数更少，嵌入效率更高。

定理2　最小码距为$d$的二元$(t{,^{}}r)$线性分组隐写码，最多修改$d$比特即可嵌入$t - r$比特信息。

假设有${\text{GF}}(2)$上的$(t{,^{}}r)$线性分组码，其最小码距为$d$，生成矩阵为${\boldsymbol{G}}$，一致校验矩阵为${\boldsymbol{H}}$，满足${\boldsymbol{H}} \cdot {{\boldsymbol{G}}^{\text{T}}} = { {\textit{0}}}$。基于该线性码构造隐写码的方法如下：

首先，选择二元序列${\boldsymbol{x}} = {({x_1},{x_2}, \cdots ,{x_t})^{\text{T}}}$作为嵌入载体，并取$t - r$比特秘密信息${\boldsymbol{m}} = ({m_1},{m_2}, \cdots , {m_{t - r}})^{\text{T}}$。然后，通过计算伴随式${\boldsymbol{S = m}} - {\boldsymbol{H}} \cdot {\boldsymbol{x}}$，在译码表中找出错误图样${\boldsymbol{E}}$且满足${\boldsymbol{H}} \cdot {\boldsymbol{E = S = m}} - {\boldsymbol{H}} \cdot {\boldsymbol{x}}$，由此在秘密信息与错误图像之间建立了一种一一映射关系。最后，计算${\boldsymbol{y = x}}{\text{ + }}{\boldsymbol{E}}$，即将错误图样${\boldsymbol{E}}$嵌入载体中生成含密载体${\boldsymbol{y}} = ({y_1},{y_2}, \cdots ,{y_t})$。信息提取时，利用一致校验矩阵${\boldsymbol{H}}$计算${\boldsymbol{H}} \cdot {\boldsymbol{y}} = {\boldsymbol{m}}$即可得到嵌入的信息。

3.   算法设计

3.1   算法框架

在分布式云存储的多用户场景中，原始图像被分割成多幅影子图像并存储在不同的用户端，可以增强图像的安全性，同时为满足多用户对密文数据的标记、管理与检索等需求。本文提出了两种嵌入算法，算法1是多项式嵌入，即在图像分割的过程中将额外信息嵌入多项式的冗余系数中，与图像1同分割成多幅含有额外信息的影子图像，该算法需要在图像重构之后提取额外信息，可用于秘密信息的隐蔽传输；算法2是同态嵌入，它针对图像分割后的任一影子图像，利用秘密共享的加法同态特性在影子图像中嵌入额外信息，该算法可以直接从影子图像中提取额外信息，可用于对密文图像的标记、管理与检索。图像重构以后，需要同态解密才能无失真地恢复原始图像。通过结合两种嵌入算法，不仅实现了额外信息的大容量可逆嵌入，还实现了额外信息提取与图像重构的可分离性，算法框架如图1所示。

图 1  算法框架

下载: 全尺寸图片 幻灯片

表1对文中相关变量做出了说明。

表 1  相关变量说明

变量	变量说明	变量	变量说明
${\boldsymbol{I}}$	原始图像	${\boldsymbol{K}}_{\text{s}}^{[i]},i = 1,2, \cdots ,n$	用户共享密钥
${ {\boldsymbol{I} }_{\rm{e}}}$	置乱图像	${{\boldsymbol{K}}_{\text{a}}}$	多项式嵌入时，额外信息隐藏密钥
${ {\boldsymbol{m} }_{{a} } }$	多项式嵌入的额外信息	${\boldsymbol{K} }_{{b} }^{[i]},i = 1,2, \cdots ,n$	同态嵌入时，额外信息隐藏密钥
${ {\boldsymbol{m} }_{{b} } }$	同态嵌入的额外信息	${\boldsymbol{I}}_{{\text{ema}}}^{[i]},i = 1,2, \cdots ,n$	包含额外信息的影子图像
${{\boldsymbol{K}}_{\text{e}}}$	图像置乱密钥	${\boldsymbol{I}}_{{\text{emb}}}^{[i]},i = 1,2, \cdots ,n$	包含额外信息和标记信息的影子图像

下载: 导出CSV 

| 显示表格

3.2   算法步骤

3.2.1   密钥生成

在多用户集合$\{ {P_i}|i = 1,2, \cdots ,n\}$中，根据每位用户身份${\text{i}}{{\text{d}}_i}$和种子密钥${u_i}$，生成与其身份相关的共享密钥${{\boldsymbol{K}}_{\text{s}}} = \{ {\boldsymbol{K}}_{\text{s}}^{[i]} \in {\{ 0,1\} ^8}|i = 1,2, \cdots ,n\}$，且满足${\boldsymbol{K}}_{\text{s}}^{[i]} \ne {\boldsymbol{K}}_{\text{s}}^{[j]}(i \ne j)$，即每位用户拥有完全不同的共享密钥。

其中，${\text{Gen}}$表示伪随机数据发生器，上标$[i]$表示第$i$位用户的共享密钥，上标$[1:k]$表示第$1,2, \cdots ,k$位用户的共享密钥。

3.2.2   图像置乱

在图像分割之前，由于像素间具有较强的相关性，为了保证图像的安全性需要进行置乱。假设原始图像${\boldsymbol{I}}$的大小为$M \times N$，使用Arnold变换对图像置乱，由式(6)得置乱后的图像${{\boldsymbol{I}}_{\text{e}}}$。

其中，${x_i},{y_i}$表示置乱前像素的位置，${x_{i + 1}},{y_{i + 1}}$表示置乱后像素的位置，mod为模运算，$a,b$是由置乱密钥生成的参数。

3.2.3   信息嵌入

(1) 多项式嵌入

秘密共享方案在实际应用中为了快速解密通常仅将常数项作为秘密，而将其他系数用随机数代替，在秘密重构时仅恢复常数项，而忽略其他各项系数，由于多项式的各项系数均可恢复，这些随机数可作为加密过程中的冗余空间。多项式嵌入算法就是利用图像分割过程中产生的随机数作为冗余空间嵌入额外信息的，它将原始图像与额外信息嵌入多项式的冗余系数中分割成多幅含有额外信息的影子图像，该算法必须在图像重构以后才能提取额外信息。由于该算法嵌入信息时具有更好的隐蔽性，可用于秘密信息隐蔽传输。

定义1　在多项式嵌入算法中，每次选取$w$个像素嵌入多项式，经过秘密共享后每位用户仅需要保存一个影子像素，即将$w$个像素压缩为一个像素，则称$w$为影子图像压缩系数。

首先，构造${\text{GF}}({2^8})$上的图像秘密共享方案。然后，随机生成一个$k - 1$次多项式$F(x)$，该多项式中共有$k$个系数，选取其中$w$个系数嵌入置乱像素，$k - w$个系数嵌入额外信息${{\boldsymbol{m}}_{\text{a}}} = {\{ 0,1\} ^l}$，如式(7)。最后，根据每位用户的共享密钥${\boldsymbol{K}}_{\text{s}}^{[i]}$分割图像，由式(7)计算可生成多幅互不相同且含有额外信息的影子图像${\boldsymbol{I}}_{{\text{ema}}}^{[i]}$，并分别将其存储在相应的用户端${P_i}$。为增强安全性，额外信息在嵌入前需要使用信息隐藏密钥${{\boldsymbol{K}}_{\text{a}}}$加密。

其中，取模多项式$g(x) = {x^8} + {x^4} + {x^3} + x + 1$，${a_1}, {a_2}, \cdots ,{a_w}$为图像像素，${b_1},{b_2}, \cdots ,{b_{k - w}}$为额外信息，满足$a,b \in {\text{GF}}({2^8})$。共享密钥${\boldsymbol{K}}_{\text{s}}^{[i]}$为多项式的输入，计算结果$F({x_i})$即为多项式嵌入后生成的含有额外信息的影子图像像素。

(2) 同态嵌入

同态嵌入算法将图像分割后的任一影子图像作为嵌入载体，利用秘密共享的加法同态特性，使每位用户都可以独立地将额外信息嵌入到影子图像中，该算法可以直接从新生成的影子图像中快速提取额外信息，方便多用户独立标记、管理与检索密文图像。为提高嵌入效率，即用较少的修改嵌入尽量多的信息，本文采用了矩阵编码隐写^[23]的方法进行同态嵌入，并在4.4节提供了矩阵编码代替同态加法操作的安全性证明。嵌入过程如下：

定义2　非线性变换$\psi ( \cdot )$是建立在嵌入信息${\boldsymbol{m}}$与错误图样${\boldsymbol{E}}$之间的一种一一映射，可通过额外信息隐藏密钥${\boldsymbol{K}}_{\text{b}}^{[i]}$选择不同的编码方案，记作$\psi ({\boldsymbol{m}},{\boldsymbol{K}}_{\text{b}}^{[i]}) \to {\boldsymbol{E}}$，且满足如下关系

式中，${\boldsymbol{S}}$为伴随式，${\boldsymbol{x}}$为嵌入载体。

步骤1　基于(7, 4)循环码构造${\text{GF}}(2)$上的矩阵编码隐写方案，循环码的码字$C(x)$可表示为其生成多项式$q(x)$的倍式，即${C_{i + 1}}(x) = {x^i}{C_1}(x){\rm {mod}} ({x^7} + 1)$，其中${C_1}(x) = q(x)$。因此，选择生成多项式${q_1}(x) = {x^3} + x + 1$和${q_2}(x) = {x^3} + {x^2} + 1$构造两种编码方案，相应的生成矩阵分别为${{\boldsymbol{G}}_1}$ 和${{\boldsymbol{G}}_2}$，一致校验矩阵分别为${{\boldsymbol{H}}_1}$ 和${{\boldsymbol{H}}_2}$。译码表如表2所示。

表 2  译码表

生成多项式	${\boldsymbol{E}}$	0000000	0000001	0000010	0000100	0001000	0010000	0100000	1000000
${q_1}(x) = {x^3} + x + 1$	${{\boldsymbol{S}}_1}$	000	001	010	100	011	110	111	101
${q_2}(x) = {x^3} + {x^2} + 1$	${{\boldsymbol{S}}_2}$	000	001	010	100	101	111	011	110

下载: 导出CSV 

| 显示表格

步骤2　依次扫描影子图像，选取一个像素的7 bit(非LSB位)作为嵌入载体${\boldsymbol{x}} = {({x_1},{x_2}, \cdots ,{x_7})^{\text{T}}}$，从额外信息${\boldsymbol{m}}_{\text{b}}^{[i]}$中依次取3 bit组成${\boldsymbol{m}} = ({m_1},{m_2}, {m_3})^{\text{T}}$，根据额外信息隐藏密钥${\boldsymbol{K}}_{\text{b}}^{[i]}$选择相应的编码方案以变换额外信息$\psi ({\boldsymbol{m}},{\boldsymbol{K}}_{\text{b}}^{[i]}) \to {\boldsymbol{E}}$，计算${\boldsymbol{y}} = {\boldsymbol{x}} + {\boldsymbol{E}}$嵌入额外信息，得到嵌入后的含密载体${\boldsymbol{y}} = ({y_1},{y_2}, \cdots ,{y_7})^{\text{T}}$。

步骤3　将错误图样${\boldsymbol{E}}$进行定长编码并作为辅助信息填充影子图像。

3.2.4   信息提取与图像重构

信息提取时，由于采用了两种嵌入算法使得额外信息在图像重构前后均可提取。多项式嵌入算法支持在图像重构之后提取额外信息，同态嵌入算法支持在图像重构之前直接从影子图像中提取额外信息。图像重构时，同态嵌入算法对分割后的影子图像进行了第2次嵌入，它会对影子图像造成一定的修改，因此，图像重构以后是含有噪声的，需要根据辅助信息进行同态解密消除噪声才能无失真地重构原始图像。

图像重构前：接收方使用同态嵌入隐藏密钥，直接从影子图像中提取信息。提取过程如下：

依次从影子图像${\boldsymbol{I}}_{{\text{emb}}}^{[i]}$中选取一个像素的7 bit(非LSB位)组成含密载体${\boldsymbol{y}} = {({y_1},{y_2}, \cdots ,{y_7})^{\text{T}}}$，然后根据额外信息隐藏密钥${\boldsymbol{K}}_{{b}}^{[i]}$选择相应的一致校验矩阵${\boldsymbol{H}}$，计算${\boldsymbol{H}} \cdot {\boldsymbol{y}} = {\boldsymbol{m}}$提取额外信息${\boldsymbol{m}}_{{b}}^{[i]}$。

图像重构后：接收方任意收集$k$幅有效影子图像${\boldsymbol{I}}_{{\text{emb}}}^{[1{:}k]}$重构原始图像与提取额外信息${{\boldsymbol{m}}_{{a}}}$，具体过程如下：

步骤1　任意收集$k$幅有效的影子图像${\boldsymbol{I}}_{{\text{emb}}}^{[1:k]}$，从中提取辅助信息并解码${\boldsymbol{V}} = (\varphi ({m_1}),\varphi ({m_2}), \cdots , \varphi ({m_k}))^{\text{T}}$。

步骤2　利用$k$幅影子图像重构原始图像，由于噪声是经过第2次同态嵌入算法引入的，重构后的密文图像${\boldsymbol{I}'_{\text{e}}}$与额外信息${{\boldsymbol{m}}'_{\text{a}}}$是含有噪声的，由式(9)计算重构图像像素和额外信息。

式中，${e_i}$表示引入的噪声，${a_i},{b_i}$分别表示置乱图像像素和额外信息，下文均使用矩阵式简化描述。

步骤3　消除重构图像与额外信息中的噪声，根据辅助信息构造方程组式(10)，由于各用户的共享密钥互不相同，该方程组有唯一确定的解噪声${\boldsymbol{e}} = {({e_1},{e_2}, \cdots ,{e_k})^{\text{T}}}$，减去噪声即可得到置乱图像与加密后的额外信息。

其中，${\boldsymbol{X}}$是由共享密钥${x_i}$组成的，辅助信息由$\psi ({\boldsymbol{m}},{\boldsymbol{K}}_{{b}}^{[i]}) \to {\boldsymbol{E}}$生成。

步骤4　 最后使用图像置乱密钥${{\boldsymbol{K}}_{\text{e}}}$恢复置乱，即可得到无失真的重构图像；使用额外信息隐藏密钥${{\boldsymbol{K}}_{\text{a}}}$解密，即可无误地提取额外信息。

噪声引入的证明过程如下：

每一位用户在独立嵌入额外信息的过程中，都将变换后的秘密信息与密文状态的影子图像做了一次同态加法运算，可用如下的矩阵式表示该方程组：

对影子图像进行加法操作后会引入一定的噪声${\boldsymbol{e}}$，根据秘密共享的加法同态属性，上述过程可表示为${\text{Enc}}({a_i},{b_j}) + {\text{Enc}}({e_i},{e_j}) = {\text{Enc}}({a_i} + {e_i},{b_j} + {e_j})$，即向多项式$F(x)$的各项系数引入了噪声。引入噪声后的多项式可用$F'(x)$表示，此时，新生成的影子图像等价为使用多项式$F'(x)$分割得到的。

噪声消除的证明过程为

每位用户拥有完全不同的共享密钥，由式(13)可知范德蒙德行列式不为零，其对应的矩阵为非奇异矩阵，且保证了每个元素在有限域${\text{GF}}({2^8})$中都存在乘法逆元，方程组式(10)必有唯一解，即每位用户都可独立地对影子图像进行任意形式的同态加法操作，该过程引入的噪声能够完全消除。证毕

4.   仿真实验与分析

实验选取如图2所示4幅大小均为$512 \times 512$的灰度图像作为测试集。实验环境为：主机配置CPU Intel(R) Core(TM) i7-10875 H 2.30 GHz，内存32 GB，操作系统Windows 10，编程语言MATLAB 2019 b。

图 2  测试图像

下载: 全尺寸图片 幻灯片

参数设置：门限参数为$k = 3,n = 4$，图像压缩系数$w = 2$，用户集合：$\{ 'A','F','b','o'\}$，以Lena图像为例，实验结果分析如下。Lena图像经多项式嵌入后生成4幅互不相同且含有额外信息的影子图像，并存储在不同的用户端。从中任选1幅如图3(a)所示，影子图像被压缩为原来的一半，4幅影子图像的总量为原始图像的两倍，即数据扩展率为2；图3(b)是以图3(a)为载体经同态嵌入后生成的影子图像。两次嵌入后的影子图像均为噪声状，保证了图像的安全性。

图 3  两次嵌入后含有额外信息的影子图像

下载: 全尺寸图片 幻灯片

图4为Lean重构图像及其直方图，其中，图4(a)—图4(c)分别表示同态解密前重构置乱图像、同态解密前重构明文图像、同态解密后重构明文图像，图4(c)—图4(e)分别为其相应的直方图。同态解密前重构密文图4(a)是含有噪声的置乱图像，其直方图仅呈现出部分规律分布。置乱操作破坏了像素间的相关性，但不会改变图像的直方图分布，因此，恢复置乱后的明文图4(b)呈现出Lena图像的部分纹理，其统计特征没有改变。由于图像中含有大量的噪声，图像均呈现噪声状，需要同态解密消除噪声才能无损地恢复原始图像。同态解密后重构的明文图4(c)在视觉效果上与原始图像无任何区别，其直方图4(f)与原始图像直方图也具有相同的分布特征。

图 4  Lena重构图像及其直方图

下载: 全尺寸图片 幻灯片

4.1   嵌入容量

本文算法的嵌入容量(Embedding Capacity, EC)由两部分组成，一部分是多项式嵌入的额外信息比特，另一部分是同态嵌入的额外信息比特，两种方法的嵌入容量均不受载体图像纹理的影响，且只与算法参数有关，即当门限参数为(k, n)，图像压缩系数为w时，对于大小为$M \times N$原始图像，嵌入容量可由式(14)、式(15)计算

其中，${\text{E}}{{\text{C}}_{\text{p}}}$表示多项式嵌入总比特数，${\text{E}}{{\text{C}}_{\text{h}}}$表示同态嵌入总比特数。

为准确反映算法的实际嵌入率(Embedding Rate, ER)，不仅要考虑密文数据的扩展，还需要减去辅助信息占用的空间，计算方法由式(16)给出。表3列出了算法在不同参数下的实际最大嵌入率。算法的嵌入率只与算法参数有关，与载体图像平滑程度或像素间相关性等因素无关。当门限参数$n$和$k$固定时，压缩系数$w$越大嵌入率越小；当门限值$k$和压缩系数$w$固定时，$n$越大嵌入率也越小；当$n$和$w$固定时，$k$越大嵌入率越大。因此，门限参数和压缩系数与嵌入率之间存在折中关系。

表 3  实际最大嵌入率

最大嵌入率 (bpp)	n = 4		n = 5			n = 6				n = 7
	w = 2		w = 2	w = 3		w = 2	w = 3	w = 4		w = 2	w = 3	w = 4	w = 5
k = 3	4.1818		3.7818	\		3.5152	\	\		3.3247	\	\	\
k = 4	\		5.3818	3.7818		4.8485	3.5152	\		4.4675	3.3247	\	\
k = 5	\		\	\		6.1818	4.8485	3.5152		5.6104	4.4675	3.3247	\
k = 6	\		\	\		\	\	\		6.7532	5.6104	4.4675	3.3247

下载: 导出CSV 

| 显示表格

其中，k，n表示秘密共享的门限参数; w为影子图像压缩系数，满足$n > k > w，且n,k,w\in {N}^{\ast }$。

图5对比了不同类型隐藏算法的最大嵌入率，参数为$k = 3,n = 4,w = 2$时算法的最大嵌入率达到4.182 bpp (bit per pixel)；参数为$k = 3, n = 5,w = 2$时算法的最大嵌入率达到3.782 bpp。与文献[8]算法基于MSB预测的大容量隐藏方法和Huang等人^[14]基于特殊加密过程的隐藏方案相比，嵌入率显著提升；在密文数据扩展率均为2的情况下，相比文献[17,20]算法的(2, 2)门限隐藏方案，嵌入率平均分别高出约2.112 bpp, 0.482 bpp；在门限参数相同的条件下，最大嵌入率比文献[20]的算法高出3.932 bpp。

图 5  最大嵌入率对比

下载: 全尺寸图片 幻灯片

4.2   图像质量

峰值信噪比(Peak Signal to Noise Ratio, PSRN)用于评估可逆信息隐藏算法重构图像的失真程度，当PSNR > 35 dB时，人眼就无法察觉明显的失真；当PSNR为无穷大时，重构图像与原始图像相比无任何失真。表4为同态解密前重构密文图像、明文图像与同态解密后重构明文图像的PSNR和信息熵。同态解密前的重构密文图像是含有噪声的置乱图像，与原始图像相比PSNR < 35 dB，无法通过人眼识别图像的内容。对其恢复置乱后得到同态解密前重构的明文图像，由于仍含有大量噪声其PSNR增幅不大，信息熵保持不变。同态解密后重构明文图像与原始图像相比PSNR为无穷大，信息熵有明显的减小且与原始图像的信息熵相等，表明该图像与原始图像完全相同无任何失真。

表 4  同态解密前后重构图像质量

测试图像	同态解密前重构密文图像			同态解密前重构明文图像			同态解密后重构明文图像
	PSNR(dB)	信息熵		PSNR(dB)	信息熵		PSNR(dB)	信息熵
Lena	10.166119	7.955290		10.870086	7.955290		$+ \infty$	7.218498
Baboon	10.571863	7.951466		11.136816	7.951466		$+ \infty$	7.139099
Boat	9.628571	7.928695		10.478454	7.928695		$+ \infty$	7.046737
Goldhill	9.688918	7.967631		10.387593	7.967631		$+ \infty$	7.472315

下载: 导出CSV 

| 显示表格

4.3   可分离性

在RDH-ED中，可分离性是一种重要的实用性指标，即信息的提取均可在图像解密前后完成。本文算法的可分离性是指额外信息均可在图像重构前后提取，该方案组合使用两种不同嵌入方法实现了信息提取的可分离性，一种是多项式嵌入，支持在图像重构之后提取额外信息；另一种是同态嵌入，支持在图像重构前提取额外信息。在图像重构前，接收方根据信息隐藏密钥可以直接提取同态嵌入的额外信息且不影响原始图像的重构；在图像重构后，接收方根据信息隐藏密钥可以提取多项式嵌入的额外信息，但是含有噪声，需要利用辅助信息同态解密才能消除噪声。

4.4   安全性分析

RDH-ED将密文图像作为载体，嵌入信息后的图像仍为密文图像。然而，嵌入操作可能会对密文图像进行修改导致其统计特征改变，破坏原有加密算法的强度与安全性，威胁含密图像的安全性。多项式嵌入算法是在图像分割过程中，利用加密后的额外信息替换多项式中随机系数的方法嵌入的，由于加密后的额外信息与随机数都服从均匀分布，因此，不会降低秘密共享的安全强度，保证了载体图像的安全；同态嵌入算法是针对分割后的任意影子图像，利用秘密共享的加法同态属性嵌入信息的，经同态操作后得到的密文仍是安全的密文，保证了嵌入过程不会削弱秘密共享的安全强度。

文中采用矩阵编码隐写^[23]的方法代替秘密共享同态加法操作以提高嵌入效率，其安全性证明如下：首先，同态嵌入的载体图像与加密后的额外信息服从均匀分布，即${\boldsymbol{m}}{\text{～}}U(0,7)$，${\boldsymbol{x}}{\text{～}}U(0,127)$；其次，信息隐藏密钥决定了编码方案，即${{\boldsymbol{K}}_b} \to {\boldsymbol{H}}{\text{～}} U(0,1)$。上述变量相互独立，额外信息的非线性变换满足$\psi ({\boldsymbol{m}},{\boldsymbol{K}}_{{b}}^{[i]}) \to {\boldsymbol{E}}{\text{～}}U(0,127)$；此外，同态加法运算的密文对象必须是经同一密钥得到的，式(13)证明了噪声解存在的充分必要条件，故可将不同用户的额外信息视作相同密钥下的密文。最后，矩阵编码隐写将错误图样${\boldsymbol{E}}$与载体${\boldsymbol{x}}$相加生成含密载体${\boldsymbol{y}}$服从均匀分布${\boldsymbol{y}}{\text{～}}U(0,127)$，同时满足秘密共享同态加法的运算规则。因此，可以利用矩阵编码隐写的方法代替秘密共享的同态加法操作。

4.4.1   相邻像素相关性分析

自然图像加密后相邻像素间的相关性极小，其期望值为零。嵌入过程可能会修改密文数据导致其相关性增强。以Lena图像为例，经两次嵌入后从生成的多幅含密影子图像中随机选取一幅，分别从水平、垂直、对角45°和135°4个方向计算嵌入前后3000对随机采样的相邻像素相关性，并绘制相关性散点图，如图6所示，其中${\kern 1pt} {R_{xy\_h,}}{R_{xy\_v,}}{\kern 1pt} {\kern 1pt} {R_{xy\_d45,}} {\kern 1pt} {\kern 1pt} {R_{xy\_d135}}$分别表示水平、垂直、对角45°和对角135°的相关系数。根据像素点的分布情况可知，嵌入后的密文图像相邻像素相关性仍保持不相关的状态，表明嵌入过程没有使密文数据的相关性增强。

图 6  额外信息嵌入前后密文图像不同方向相关性对比

下载: 全尺寸图片 幻灯片

4.4.2   明密文敏感性及信息熵

图像安全加密理论^[24]要求加密图像必须对明文和密钥极端敏感，通过计算像素数改变率(Number of Pixels Change Rate, NPCR)和归一化平均变化强度(Unified Average Changing Intensity, UACI)并结合图像的信息熵，分析两种嵌入算法生成的密文对明文及密钥的敏感性。当图像加密方法足够安全时，对位深为8位的灰度图像，NPCR和UACI的期望值分别为99.6094%和33.4635%，其信息熵的极限为8。

多项式嵌入是在秘密共享的过程中进行的，同态嵌入也是利用密文数据的同态运算，故将载体图像经过两次嵌入后生成含密影子图像的过程可分别视为新的加密过程，通过对载体图像的细微改变并分别进行两次嵌入以生成不同的影子图像。表5分析了信息嵌入前后影子图像的安全性，其中，未嵌入信息的影子图像是通过秘密共享方案分割得到的，其信息熵接近极限熵，表明经秘密共享分割的图像是安全的。从实验数据来看，经多项式嵌入后生成的影子图像信息熵约为7.9985，接近密文图像熵的极限。此外，NPCR均大于99.5%，UACI也均高达33%，表明含有额外信息的影子图像与未嵌入信息的影子图像具有相同的加密强度。因此，多项式嵌入后的影子图像是安全的。同态嵌入算法将额外信息变换后与影子图像相加得到新的影子图像，与未嵌入信息的影子图像相比，NPCR与UACI同样高于99.5%和33%，信息熵较之前平均增加了0.000075。因此，同态嵌入后的影子图像也是安全的。

表 5  信息嵌入前后含密影子图像安全性分析

测试图像	未嵌入信息的影子图像		多项式嵌入后的影子图像				同态嵌入后的影子图像
	信息熵		NPCR(%)	UACI(%)	信息熵		NPCR(%)	UACI(%)	信息熵
Lena	7.998589		99.617195	33.423751	7.998618		99.611473	33.433949	7.998648
Baboon	7.998515		99.599838	33.412525	7.998594		99.601936	33.402735	7.998660
Boat	7.998591		99.606895	33.435428	7.998544		99.605942	33.412868	7.998607
Goldhill	7.998551		99.619293	33.476432	7.998505		99.608231	33.459180	7.998645

下载: 导出CSV 

| 显示表格

表6从算法框架，加密方式、时间复杂度、密文扩展率、可分离性以及是否支持多用户等多个角度与不同算法的特性进行了对比。在时间复杂度方面，所提算法与基于流密码的RDH-ED具有相同的时间复杂度，且低于基于公钥密码的方案；在密文扩展方面，基于公钥加密的RDH-ED产生的密文扩展较大，秘密共享加密产生的密文扩展较小，一般取决于门限值(k, n)，文献[17,20]算法的密文扩展均为n。本文算法通过对影子图像的压缩减小了密文扩展，使其由门限值(k, n)与压缩系数w共同决定。假设门限值为(3, 4)，压缩系数为2，文献[17,20]算法的密文扩展为4，而本文算法的密文扩展为2。在实用性方面，本文算法不仅支持多用户环境而且具有可分离性，能够满足不同用户和不同应用场景下的大容量可逆嵌入需求。

表 6  不同算法特性对比

算法	算法框架	加密方式	时间复杂度	密文扩展	可分离性	信息隐藏者
文献[8]	VRBE	流密码	$O(N)$	1	否	单用户
文献[18]	VRBE	多秘密共享	$O(N)$	1	否	单用户
文献[25]	VRBE	Paillier	$O({N^3})$	128	是	单用户
文献[3]	VRAE	流密码	$O(N)$	1	否	单用户
文献[15]	VRAE	Paillier	$O({N^3})$	128	否	单用户
文献[17]	VRAE	秘密共享	$O(N)$	n	否	单用户
文献[20]	VRAE	秘密共享	$O(N)$	n	是	多用户
文献[13]	VRIE	LWE	$O({N^2})$	16	否	单用户
文献[14]	VRIE	流密码	$O(N)$	1	否	单用户
本文算法	VRIE	秘密共享	${\mathbf{O(N)}}$	n/w	是	多用户

下载: 导出CSV 

| 显示表格

5.   结束语

本文将图像秘密共享方案与密文域可逆信息隐藏相结合，发挥秘密共享在多用户场景下的容灾特性以增强图像安全性，并针对RDH-ED多用户场景下嵌入容量低，可分离性差等问题，提出了两种嵌入算法，一是多项式嵌入算法，利用秘密共享的冗余嵌入额外信息，不仅能够增强载体图像与额外信息的安全性，还能使秘密信息的传输更加隐蔽；二是同态嵌入算法，利用秘密共享的加法同态特性在影子图像中嵌入额外信息以满足多用户标记与管理密文数据的需求。最后，通过理论分析与仿真实验验证可得出以下结论：(1)在不同门限方案和影子图像压缩率条件下，均可实现大容量的可逆嵌入；(2)通过组合两种嵌入方法实现了算法的可分离性；(3)将图像秘密共享与密文域信息隐藏相结合，更好地发挥了图像秘密共享技术的门限优势，不仅增强了密文图像与嵌入信息的容错性与抗灾性，还实现了多用户场景下对密文数据的管理、标记与检索。在下一步的研究中，一是解决辅助信息占用嵌入空间的问题，进一步提升嵌入容量；二是设计门限方案可动态改变的RDH-ED，提升算法的灵活性。