摘要：随着反序列化技术在Java Web应用开发中的广泛应用,针对Java反序列化机制的攻击也日益增多,已严重威胁Java Web应用的安全性。当前主流的黑名单防范机制无法有效防御未知的反序列化漏洞利用,而现有的Java反序列化漏洞挖掘工具大多依赖静态分析方法,检测精确度较低。文章提出一种基于模糊测试的Java反序列化漏洞挖掘工具DSM-Fuzz,该工具首先通过对字节码进行双向追踪污点分析,提取所有可能与反序列化相关的函数调用链。然后,利用基于TrustRank算法的函数权值分配策略,评估函数与反序列化调用链的关联性,并根据相关性权值对模糊测试种子分配能量。为进一步优化测试用例的语法结构和语义特征,文章设计并实现了一种基于反序列化特征的种子变异算法。该算法利用反序列化的Java对象内部特征优化种子变异过程,并引导模糊测试策略对反序列化漏洞调用链进行路径突破。实验结果表明,DSM-Fuzz在漏洞相关代码覆盖量方面较其他工具提高了约90%。此外,该工具还在多个主流Java库中成功检测出50%的已知反序列化漏洞,检测精确度显著优于其他漏洞检测工具。因此,DSM-Fuzz可有效辅助Java反序列化漏洞的检测和防护。

摘要：应用软件一般需要输入和处理敏感信息,如密码,以实现用户和远程服务器之间的可靠认证和安全交互.定量度量敏感信息在敏感信息处理中的安全性是目前研究的难点.根据敏感信息处理的流程和敏感信息出现点的上下文,定义敏感信息处理的固有属性、可变属性和推求属性,设计了从固有属性和可变属性到数据操作的映射规则,提出了基于层次分析法(analytic hierarchy process,AHP)及折中型多属性决策(technique for order preference by similarity to an ideal solution,TOPSIS)的敏感度计算方法,从而实现敏感度的定量计算,展示在敏感信息处理中敏感度的动态变化规律,为敏感信息处理的安全防护提供支持.该方法可以应用于可信软件的安全分析和可信度量,最后,实验分析了3种敏感信息在处理中的敏感度变化,发现了敏感信息处理的潜在危险点,从而证实了该方法的有效性.

摘要：基于深度学习的JPEG数字图像隐写分析模型检测能力已超越基于人工设计特征隐写分析模型,但检测能力仍存在提升空间.以进一步提升JPEG隐写分析模型的检测能力为目标,借助深度学习方法,为基于深度学习的JPEG隐写分析模型提供辅助信息,从数据输入角度,探索进一步提升隐写分析模型检测能力的途径.基于卷积神经网络,构建隐写分析参照图像生成模型,对待检测图像进行变换,从而获得对应参照图像.之后,将待检测图像与对应参照图像作为隐写分析模型的输入数据,进一步挖掘待检测图像中存在的隐写分析相关信息.为验证所提出算法的有效性,进行针对JPEG自适应隐写算法的对比实验.实验结果表明:所设计的参照图像生成模型能够提升现有基于深度学习的隐写分析模型检测能力,提升效果最多可达6个百分点.

摘要：近年来,生成对抗网络(GAN)的迅速发展使得合成图像越来越逼真,对个人和社会造成了极大的威胁。现有的研究致力于被动地鉴别伪造产品,但在真实应用场景下通常面临通用性不足和鲁棒性差等两大难题。因此,该文提出了一种面向深度伪造的溯源取证方法,将秘密信息隐藏到图像中以追踪伪造图像的源头。设计了一个端到端的深度神经网络,该网络由嵌入网络、 GAN模拟器和恢复网络等3部分组成。其中,嵌入网络和恢复网络分别用于实现秘密信息的嵌入和提取,GAN模拟器用于模拟各种GAN的图像变换。实验中在已知GAN的篡改下恢复图像的平均归一化互相关(NCC)系数高于0.9,在未知GAN的篡改下平均NCC也能达到0.8左右,具有很好的鲁棒性和通用性。此外,该方法中嵌入的秘密信息具有较好的隐蔽性,平均峰值信噪比(PSNR)在30 dB左右。

摘要：当前的时空轨迹匿名算法忽略了空间相关性对轨迹隐匿的重要影响.为此,提出一种基于地图匹配的时空轨迹匿名算法,利用真实路网数据构造假轨迹的候选匹配集,通过设置时间和空间匿名函数,利用启发式广度优先搜索算法搜索目标匹配轨迹点,满足时空匿名性和空间相关性的隐私安全条件,以增强隐私保护力度.在Android平台上设计实现基于地图匹配的时空轨迹匿名工具,利用真实路网数据完成实验,验证了该算法的有效性.

摘要：隐写是一种利用图像、视频、音频等多媒体载体实现隐蔽传输的技术.如何在尽可能减少对载体影响的情况下嵌入尽可能多的信息一直是隐写算法的研究重点.随着双层校验格码(syndrome tellis codes,STC)的引入,隐写算法的嵌入效率能够达到理论上界.因此,隐写算法的设计重心变为了设计用于衡量图像像素嵌入安全性的失真函数.失真函数是自适应隐写算法的核心.对于空域图像隐写而言,失真函数通常是基于图像的复杂性原则,即载体图像中的纹理区域通常具有较低的失真代价,而平坦区域通常具有更高的失真代价.然而,基于图像内容的多样性,这种准则并不能适用于一幅图像中的所有像素点.提出了一种适用于空域隐写算法的隐写增强算法,通过多尺度滤波器对载体图像进行增强,使得在增强不同尺度的纹理区域的同时减少对图像平坦区域的增强.增强后的失真代价遵循了复杂性原则,并解决了失真代价分配不当的问题.实验结果表明:所提出的算法能够适用于现有的空域隐写算法,并且能够提升它们的抗隐写分析检测能力.

摘要：如何扩展传统信任链中的信任传递关系,构建一个可信虚拟化环境,从而保证虚拟域内软件的可信,是可信计算应用到云计算中去的一个关键。该文结合虚拟化技术的特点,提出了一种适用于虚拟化环境的并行信任结构,实现了将信任从虚拟化平台的信任根传递到虚拟域内的应用软件,该信任结构通过在虚拟监控器中加载一个可信软件保护代理模块,有效的减小了信任中间节点的复杂程度,提高了系统的可控性和安全性。本文还在该结构的基础上设计了一种虚拟机域内高可信软件保护模型,并进行了部分系统实现。

摘要：如何有效增强嵌入式系统的安全性是信息安全领域研究的热点和难点之一.相关研究表明,可信平台模块对于有效提高信息系统的安全性十分重要.然而,现有的可信平台模块是为个人计算机设计的,并不能满足嵌入式系统特有的应用需求.针对上述问题,设计了一种适应嵌入式环境的新型嵌入式可信平台模块(embedded trusted platform module,ETPM).作为嵌入式可信平台模块的重要组成部分,总线仲裁提高了ETPM的控制能力,增强了嵌入式系统的安全性;对称密码引擎提高了嵌入式系统的对称密码运算效率;系统备份恢复增强了嵌入式系统的可靠性.除此之外,ETPM还能够支持嵌入式平台的星型信任度量模型.这一设计已经在可信PDA中进行了实验验证,实验表明嵌入式可信平台模块是实用、高效、可靠、安全的.

摘要：协议是网络通信的规范,密码协议是信息安全的关键技术之一,安全的密码协议常常依赖于签名或消息认证技术.签名或消息认证给密钥协商协议通信带来大量计算,不利于计算能力有限设备的网络通信.设计具有计算量小又实用的安全协议是信息安全研究目标之一.故以整数乘法同态映射和二叉树为基础,提出一种新的密钥协商协议,并在开源的OpenSSL环境下实现新协议模拟实验,给出二叉树叶子结点数变化对网络通信影响的模拟实验和实验结果分析.新协议在随机预言模型下可证明安全,即在公钥加密方案中新协议满足选择明文攻击不可区分性的(IND-CPA)安全.新协议与经典的密钥协商协议相比(例如MTI,MQV,HMQV),计算量小、强安全假设少、无需额外的签名与消息认证,且可以在非安全通信信道上进行安全通信.

摘要：基于JPEG图像的隐写方法通常利用原始图像的边信息来提高隐写安全性.然而现有的JPEG图像隐写方法在使用边信息时需要提前获取未压缩的原始图像,当原始图像不可获得时,往往不能把边信息用于设计隐写方法.文中提出了一种在不具有未压缩的原始图像的情况下,通过估计图像的边信息来提高JPEG图像隐写安全性的方法.首先,使用卷积神经网络对JPEG载体图像进行恢复,得到估计的原始图像;其次,通过得到的估计图像计算取整误差;然后利用取整误差来控制嵌入过程中离散余弦变换(DCT)系数的修改方向;最后结合DCT系数的失真代价和STC编码来实现隐写嵌入.文中提出的边信息估计方法能够应用于现有的JPEG图像自适应隐写方法,如JC-UED和J-UNIWARD.实验结果表明,该方法能较好地恢复图像的边信息,并能显著提高现有JPEG图像自适应隐写方法的安全性.