葛 濱，陳 旭，陳 剛

(1.南通職業(yè)大學(xué) 電子信息工程學(xué)院，江蘇 南通 226007；2.中國科學(xué)院半導(dǎo)體研究所，北京 100083)

近年來，如何保障數(shù)字圖像在互聯(lián)網(wǎng)上的安全存儲和傳輸已經(jīng)成為業(yè)界的研究熱點(diǎn)[1-3]。與文本數(shù)據(jù)不同，圖像數(shù)據(jù)具有二維結(jié)構(gòu)、高冗余度和大數(shù)據(jù)量的特點(diǎn)，3DES和AES等加密算法已不再適用。雖然出現(xiàn)了Zigzag掃描[4]、Arnold變換[5]和幻方變換[6]等一些頗具特色的圖像加密算法，但研究表明惟置亂算法僅能擾亂視覺信息，很難抵御現(xiàn)代密碼分析技術(shù)[7]。對初值變化高度敏感的混沌系統(tǒng)能夠產(chǎn)生大量優(yōu)良的偽隨機(jī)序列，天然符合密碼設(shè)計所需的混淆和擴(kuò)散規(guī)則[8-9]，因此隨著混沌反控制技術(shù)的日趨成熟[10]，越來越多的研究人員正致力于使用混沌系統(tǒng)設(shè)計新型加密算法以徹底隱藏明文圖像和密文圖像之間的統(tǒng)計特性[11]。

相比普通混沌系統(tǒng)，超混沌系統(tǒng)結(jié)構(gòu)更加復(fù)雜，具備在多個方向上拉伸折疊的能力，且兩個以上正的李雅普諾夫指數(shù)使其在數(shù)字系統(tǒng)中能夠保持更好的隨機(jī)特性[12]。自文獻(xiàn)[13]首次提出一種置亂-擴(kuò)散結(jié)構(gòu)的超混沌圖像加密方案以來，先后出現(xiàn)了很多優(yōu)秀的改進(jìn)方案。文獻(xiàn)[14]利用散列函數(shù)產(chǎn)生會話密鑰提高了算法的明文敏感性，但是加密過程僅依賴異或運(yùn)算，很難抵御選擇明文等攻擊。文獻(xiàn)[15]引入遺傳模擬退火的選擇、交叉和變異操作改進(jìn)算法的安全性，但其過于復(fù)雜的擴(kuò)散過程導(dǎo)致加密速度較慢。文獻(xiàn)[16]中引入密文分組鏈接加密使像素信息具有擴(kuò)散能力，增強(qiáng)了算法安全性，但是其較慢的擴(kuò)散過程導(dǎo)致運(yùn)行效率不高。文獻(xiàn)[17]將圖像分塊后利用多線程技術(shù)對加密流程進(jìn)行加速，但是缺少了不同子塊之間的擴(kuò)散過程，因此難以抵御差分攻擊。綜上所述，超混沌系統(tǒng)雖然能夠提高混沌圖像加密算法的安全性，但現(xiàn)有方案中的擴(kuò)散過程普遍將二維矩陣重構(gòu)為一維序列后進(jìn)行設(shè)計和優(yōu)化，難以在安全性能和運(yùn)行效率間找到平衡點(diǎn)，實(shí)用價值不高?；诖耍槍D像二維結(jié)構(gòu)特點(diǎn)，筆者提出一種基于向量運(yùn)算的超混沌快速圖像加密算法。

筆者引入向量運(yùn)算，通過垂直方向和水平方向的并行分組鏈接加密，使任意位置像素信息能夠在圖像矩陣上快速擴(kuò)散，提高算法的明文敏感性；使用研究最為廣泛的超混沌陳(Hyper-Chen)系統(tǒng)產(chǎn)生原始超混沌序列，能夠同時滿足文中對安全性能和運(yùn)行效率的需求；同時為適應(yīng)上述擴(kuò)散過程，設(shè)計了新的密鑰矩陣生成方法和初始向量生成方法；此外，在會話密鑰生成中引入時變的真隨機(jī)數(shù)，進(jìn)一步增強(qiáng)算法安全性。實(shí)驗結(jié)果和分析表明，改進(jìn)算法能很好地抵御窮舉、選擇明(密)文、差分分析等密碼學(xué)攻擊，且其擴(kuò)散過程的時間復(fù)雜度僅為線性階O(M+N)，在圖像實(shí)時保密通信等場合具有較強(qiáng)的實(shí)用價值。

1 算法原理

設(shè)灰度明文圖像P的尺寸為M×N，E表示加密運(yùn)算，TC1，TC2，TC3，TC4表示擴(kuò)散過程中產(chǎn)生的中間密文，則文中算法運(yùn)行流程如圖1所示。首先將填充真隨機(jī)數(shù)明文圖像的散列值分段量化產(chǎn)生系統(tǒng)初值等參數(shù)；然后在明文圖像P上使用向量運(yùn)算，經(jīng)過兩輪垂直方向擴(kuò)散和兩輪水平方向擴(kuò)散后，產(chǎn)生幾乎毫無關(guān)聯(lián)的密文圖像C。其中擴(kuò)散過程所需的初始向量和密鑰矩陣分別由低維混沌系統(tǒng)和超混沌系統(tǒng)產(chǎn)生。

1.1 混沌系統(tǒng)

1.1.1 超混沌系統(tǒng)

表1列舉了目前圖像加密算法中常用的混沌系統(tǒng)，相比而言，超混沌系統(tǒng)具有更多的初始數(shù)量，天然地具有更大的密鑰空間。同時由表1可見，Hyper-Chen系統(tǒng)包含兩個更大的正李雅普諾夫指數(shù)，具有更強(qiáng)的初值敏感性，不可預(yù)測性和抗退化能力[18-19]，且系統(tǒng)復(fù)雜度適中，因此文中算法設(shè)計中選用了該超混沌系統(tǒng)。

Hyper-Chen超混沌系統(tǒng)(簡稱系統(tǒng)(1))方程如下所示[20]：

(1)

其中，a，b，c，d，r為系統(tǒng)的控制參數(shù)。

由圖2可見，當(dāng)a=36，b=3，c=28，d=16和r=0.2時系統(tǒng)(1)表現(xiàn)出非常復(fù)雜的動力學(xué)特性，無法在異常稠密的相空間軌跡上對序列進(jìn)行跟蹤和預(yù)測，適用于產(chǎn)生文中擴(kuò)散過程所需的密鑰矩陣。

1.1.2 低維混沌系統(tǒng)

文中算法使用的Chebyshev映射(簡稱系統(tǒng)(2))產(chǎn)生的序列具有類噪聲統(tǒng)計特性[21]，相比常用的Logistic映射，也不存在擬平凡密鑰導(dǎo)致的退化問題。其方程如下：

xn+1=cos(βarccosxn)，xn∈[-1，1] 。

(2)

當(dāng)系統(tǒng)(2)的控制參數(shù)β≥2時進(jìn)入混沌狀態(tài)。文中算法中令β=4，此時系統(tǒng)(2)在迭代速度和安全性方面取得較好的平衡[21]，適用于快速產(chǎn)生擴(kuò)散所需的初始向量。

1.2 會話密鑰生成與分段量化

散列函數(shù)具有顯著的雪崩效應(yīng)，輸入的微小變化將產(chǎn)生完全不同的輸出結(jié)果，因此將明文圖像散列值作為會話密鑰能夠改善加密算法的明文敏感性。筆者引入真隨機(jī)數(shù)，不同時刻加密同一幅明文圖像時將會使用完全不同的會話密鑰，克服了會話密鑰不慎泄露可能導(dǎo)致的安全問題。

1.2.1 會話密鑰生成

真隨機(jī)數(shù)通過應(yīng)用程序編程接口(Application Programming Interface，API)從Random.org網(wǎng)站獲取，其熵源是自然界真實(shí)的隨機(jī)現(xiàn)象[22]。會話密鑰的具體生成步驟如下：

(1)初始化一個長度為N的空序列S。

(2)調(diào)用API接口獲取真隨機(jī)數(shù)填充序列S，且接口參數(shù)中設(shè)置Si∈[0，255]，i=1，2，…，N。

(3)將序列S填充到矩陣P的最后一行生成P′，即P′ =[P；S]。

(4)令H=SHA-256(P′)。

(5)輸出長度為64的十六進(jìn)制序列H=h1h2…h(huán)63h64作為會話密鑰。

1.2.2 分段量化

混沌系統(tǒng)的初始值一般為小數(shù)，且需要預(yù)迭代消除暫態(tài)效應(yīng)帶來的安全隱患，因此將會話密鑰進(jìn)行拆分后量化，產(chǎn)生系統(tǒng)式(1)的初始值{x1，x2，x3，x4}及其預(yù)迭代次數(shù)p1，系統(tǒng)式(2)的初始值x及其預(yù)迭代次數(shù)p2，具體步驟如下：

(1)利用式(3)對會話密鑰的h1h2…h(huán)47h48部分進(jìn)行歸一化處理，產(chǎn)生值域范圍在0～1之間的系統(tǒng)式(1)的初始值，其中T為十六進(jìn)制轉(zhuǎn)十進(jìn)制運(yùn)算：

(3)

(2)利用式(4)將會話密鑰的h49h50部分的值域從0～255線性平移為20～275，產(chǎn)生系統(tǒng)式(1)的預(yù)迭代次數(shù)p1，此舉避免過短的預(yù)迭代次數(shù)導(dǎo)致的潛在安全隱患：

p1=T(h49h50)+20 。

(4)

(3)利用式(5)對會話密鑰的h51h52…h(huán)61h62部分進(jìn)行歸一化處理，產(chǎn)生值域范圍在0～1之間的系統(tǒng)式(2)的初始值：

x=T(h51h52…h(huán)61h62)×2-48。

(5)

(4)最后利用式(6)將會話密鑰的h63h64部分的值域進(jìn)行變換，產(chǎn)生系統(tǒng)式(2)的預(yù)迭代次數(shù)p2：

p2=T(h63h64)+20 。

(6)

1.3 密鑰矩陣生成

原始超混沌雖然具有較強(qiáng)的隨機(jī)性，但是其值域范圍在實(shí)數(shù)域上，無法直接用于圖像加密，還需量化為0～255之間的整數(shù)，同時也能改善序列的統(tǒng)計特性[23]。文中在量化的基礎(chǔ)上，引入重構(gòu)步驟，以生成與圖像矩陣尺寸相同的密鑰矩陣，具體步驟如下：

(1)初始化行為MN/4，列為4的空矩陣B。

(2)系統(tǒng)式(1)預(yù)迭代p1次后，將每輪迭代產(chǎn)生的新狀態(tài)值{x1，x2，x3，x4}按照式(7)對矩陣B進(jìn)行填充；

(7)

(3)利用式(8)將實(shí)數(shù)矩陣B量化生成為整數(shù)矩陣B′：

(8)

(4)最后將矩陣B′重構(gòu)為M×N的密鑰矩陣K。

1.4 采用向量運(yùn)算的快速擴(kuò)散加密

向量化計算利用一條指令同時完成多個數(shù)據(jù)的操作，是圖像處理算法中最常用的并行計算方式[24]。為兼顧算法的加密速度和加密強(qiáng)度，在圖像矩陣上基于行向量和列向量實(shí)現(xiàn)并行的密文分組鏈接加密，通過垂直方向的兩輪并行擴(kuò)散和水平方向的兩輪并行擴(kuò)散，使任意像素信息能夠高效擴(kuò)散至密文圖像所有位置。

1.4.1 初始向量生成

第一輪擴(kuò)散中的初始向量需要從外部輸入，使用系統(tǒng)式(2)快速產(chǎn)生規(guī)模相對龐大的初始向量。具體步驟如下：

(1)初始化一個空序列X。

(2)系統(tǒng)式(2)預(yù)迭代p2次后，將每次新產(chǎn)生的狀態(tài)值x填充至序列X，直到長度為N。

(3)按照式(9)將實(shí)值序列X轉(zhuǎn)換為0～255之間的整數(shù)序列，即為初始向量IV。

(9)

1.4.2 擴(kuò)散加密流程

下面結(jié)合圖3中像素的擴(kuò)散過程示意圖具體闡述向量快速擴(kuò)散的原理，具體步驟如下：

(1)輸入明文圖像P，密鑰矩陣K，初始向量IV。

(2)按照式(10)以行向量為計算單元，從第一行開始在垂直方向上完成并行分組鏈接加密，生成中間密文矩陣TC1，其中加密第一行像素所需的初始向量IV由外部輸入；

(10)

其中，mod為逐元素的取模運(yùn)算。⊕為逐元素的按位異或運(yùn)算。如圖3(a)所示，像素信息在垂直方向上完成了后向擴(kuò)散。

(3)將初始向量IV更新為第一輪擴(kuò)散后的最后一行像素TC1[M，：]，重復(fù)步驟(2)的擴(kuò)散過程，生成中間密文矩陣TC2，如圖3(b)所示，像素信息已經(jīng)擴(kuò)散至該列的所有位置。

(4)按照式(11)將初始向量IV轉(zhuǎn)置并更新為第二輪擴(kuò)散后的最后一列像素TC2[：，N]，從第一列開始在水平方向上完成并行分組鏈接加密，生成中間密文矩陣TC3，擴(kuò)散結(jié)果如圖3(c)所示。

(11)

(5)將初始向量IV更新為第三輪擴(kuò)散后的最后一列像素TC3[：，N]，重復(fù)步驟(4)的擴(kuò)散過程，生成中間密文矩陣TC4，結(jié)果如圖3(d)所示。至此，任意位置像素信息已擴(kuò)散至密文圖像上的所有位置。

(a)第一輪擴(kuò)散 (b)第二輪擴(kuò)散 (c)第三輪擴(kuò)散 (d)第四輪擴(kuò)散

(6)輸出密文矩陣TC4，即為密文圖像C。

1.4.3 解密流程

完整實(shí)用的密碼算法必須配套解密流程，因為灰度圖像中像素的值域為[0，255]，上述加密流程中的模運(yùn)算和異或運(yùn)算都存在有效的逆運(yùn)算從而恢復(fù)出明文圖像[25]。具體的解密步驟如下：

(1)輸入密文圖像C，密鑰矩陣K，初始向量IV。

(2)根據(jù)式(12)的規(guī)則，從最后一列開始到第一列結(jié)束，以列向量為單位，完成水平方向上的第一輪解密，從加密流程反推易知，第一輪解密中所需的初始向量為TD1[：，N]。

(12)

(3)重復(fù)步驟(2)的解密流程，完成水平方向上的第二輪解密，其中所需的初始向量為TD2[：，N]。

(4)根據(jù)式(13)的規(guī)則，從最后一行開始到第一行結(jié)束，以行向量為單位，完成垂直方向上的第三輪解密，第三輪解密中所需的初始向量為TD3[M，：]。

(13)

(5)重復(fù)步驟(4)的解密流程，完成垂直方向上的第四輪解密，其中所需的初始向量為IV。

(6)輸出矩陣TD4即為最終的解密圖像D。

2 實(shí)驗仿真與性能分析

基于Windows 7系統(tǒng)上的Matlab R2016a平臺對8位標(biāo)準(zhǔn)灰度圖進(jìn)行實(shí)驗，包含尺寸為256×256的Lena圖像，512×512的Cameraman圖像，1 024×1 024的Baboon圖像和2 048×2 048的Timg圖像。硬件資源主要包括：固態(tài)硬盤，Intel Core i5-6500 CPU，8 GB內(nèi)存。采用定步長0.001和4階龍格庫塔算法求解超混沌系統(tǒng)。

2.1 抗統(tǒng)計攻擊性能分析

直方圖能夠直觀地反映像素的分布特性，圖4是Cameraman和Baboon加密前后的統(tǒng)計直方圖。實(shí)驗結(jié)果表明，加密后灰度值近似等概率出現(xiàn)，分析人員無法依靠簡單的頻次攻擊恢復(fù)明文圖像。

(a)Cameraman明文

為了更好地評估加密后圖像的抗統(tǒng)計分析性能，使用美國國家標(biāo)準(zhǔn)與技術(shù)研究院的SP 800-22隨機(jī)數(shù)測試標(biāo)準(zhǔn)進(jìn)行實(shí)驗[26]。通過頻率檢測、游程檢測和線性復(fù)雜度等15個測試方法，能夠全面檢驗密文圖像的統(tǒng)計特性。將上述兩幅密文圖像轉(zhuǎn)化成比特序列進(jìn)行檢驗，結(jié)果如表2所示，密文圖像的隨機(jī)特性非常顯著，能夠很好地抵御統(tǒng)計分析攻擊。

表2 密文圖像NIST隨機(jī)性測試結(jié)果

2.2 信息熵分析

香農(nóng)定理指出，當(dāng)信息無序程度增加時，其熵值會隨之增加，且當(dāng)信息中每個元素的出現(xiàn)概率相等時，其熵值達(dá)到最大值。設(shè)一幅圖像有L種灰度值gi(i=1，2，…，L)，且出現(xiàn)的概率分別為p(gi)，則圖像的信息熵定義可表示為

(14)

如表3所示，文中算法的實(shí)驗結(jié)果已經(jīng)非常接近8位(共256種灰度值)隨機(jī)灰度圖像的理想信息熵值8，且相比現(xiàn)有方法更接近理想值，因此具有更好的加密效果。

表3 信息熵測試結(jié)果

2.3 抗相關(guān)攻擊性能分析

通過擴(kuò)散加密破壞相鄰像素間的強(qiáng)相關(guān)性可以有效地隱藏明文圖像和密文圖像間的關(guān)聯(lián)，利用式(15)進(jìn)行對比實(shí)驗，定量分析加密前后圖像的相關(guān)性：

(15)

其中，ai和bi表示兩個相同位置的灰度值。從3個不同方向隨機(jī)選取3 000組相鄰像素進(jìn)行對比實(shí)驗，加密前后的γ值如表4的第2～5列所示，通過擴(kuò)散過程，密文圖像中相鄰像素已基本不相關(guān)。表4也列出了與文獻(xiàn)[15-17]的對比結(jié)果。實(shí)驗表明，文中算法對相關(guān)性攻擊的抗性更強(qiáng)。

表4 圖像相鄰像素相關(guān)系數(shù)測試結(jié)果

2.4 抗差分攻擊分析

明文像素的微小改變應(yīng)當(dāng)通過加密在密文圖像上均勻擴(kuò)散，正是這種密文對明文變化的異常敏感性使算法能夠抵抗差分攻擊。如式(16)所示，像素改變率(Number of Pixels Change Rate，NPCR)[3]和統(tǒng)一平均變化強(qiáng)度(Unified Average Changing Intensity，UACI)[3]可以定量描述密文圖像隨明文圖像變化的程度。

(16)

其中，C1(i，j)=C2(i，j)表示相同位置兩個灰度值的加密結(jié)果，若C1(i，j)=C2(i，j)，則D(i，j)=0；否則，D(i，j)=1。一幅灰度圖像的NPCR和UACI理想期望分別約為99.609 4%和33.463 5%[3]。

從圖像任意位置選擇一個像素點(diǎn)，將其灰度值微調(diào)后，與原始明文圖像進(jìn)行對比實(shí)驗，共計100組，計算結(jié)果如表5所示。相比現(xiàn)有方案，文中算法的結(jié)果更趨近于理想值。

表5 NPCR和UACI測試結(jié)果 %

Lena圖像NPCR和UACI測試的變化曲線如圖5所示，都在理想期望附近輕微波動。顯然，利用差分攻擊對文中算法進(jìn)行破解不可行。

(a)NPCR變化曲線

2.5 密鑰敏感性分析

密鑰敏感性體現(xiàn)在兩個方面：加密時具有微小差異的兩個會話密鑰使同一幅明文圖像生成兩幅完全不同的密文圖像；解密時會話密鑰的微小錯誤將導(dǎo)致解密圖像依然不可辨認(rèn)且與明文圖像毫無關(guān)聯(lián)。

本階段會話密鑰通過SHA-256算法計算填充真隨機(jī)數(shù)的Cameraman明文圖像生成：74b93cda996d3b83e616fbb567b14396bb37cae585fcd7ff614fcff8f2c8d3af。文中的會話密鑰由7個部分組成，如表3第1列和第2列所示，分別對密鑰的7個部分做微小(即每個部分的最低位進(jìn)行比特翻轉(zhuǎn))改變后，通過NPCR和UACI進(jìn)行對比實(shí)驗，結(jié)果如表6的第3列和第4列所示，結(jié)果表明加密密鑰的微小改變引起了雪崩效應(yīng)，生成了具有顯著差異的密文圖像。

繼續(xù)用上述具有微小差異的密鑰對Cameraman的密文圖像進(jìn)行解密實(shí)驗，對比結(jié)果如表6第5列和第6列所示。密鑰的微小改變導(dǎo)致解密出的圖像依舊雜亂無章且與明文圖像毫無關(guān)聯(lián)。

表6 密鑰差異對加解密結(jié)果的影響 %

2.6 密鑰空間分析

在計算機(jī)等數(shù)字系統(tǒng)中，通常以會話密鑰占用的比特長度來描述密鑰空間的大小。使用SHA-256算法對填充真隨機(jī)數(shù)的明文圖像進(jìn)行計算生成長度為256 bit的散列值，而2.5節(jié)的實(shí)驗結(jié)果表明其每一位的微小變化都能影響加密和解密的結(jié)果，因此密鑰空間為256位，遠(yuǎn)大于100位的安全密鑰長度[15]，足以抵抗暴力攻擊。

2.7 時間復(fù)雜度分析

傳統(tǒng)的擴(kuò)散加密算法需要將圖像矩陣轉(zhuǎn)換為一維序列進(jìn)行至少兩輪串行擴(kuò)散操作，需2MN次運(yùn)算才能生成密文圖像，時間復(fù)雜度為平方階O(MN)，文中算法由兩輪垂直并行擴(kuò)散和兩輪水平并行擴(kuò)散操作組成，只需2M+2N次運(yùn)算就可生成密文圖像，時間復(fù)雜度為線性階O(M+N)，具有明顯優(yōu)勢。在相同仿真環(huán)境下對上述兩種方案進(jìn)行編程實(shí)現(xiàn)，實(shí)驗結(jié)果如表7所示，文中算法通過向量運(yùn)算加速后的運(yùn)行效率有了至少4倍以上的提升，同時也明顯優(yōu)于現(xiàn)有方案，因此更加適用于對實(shí)時性要求較高的應(yīng)用場合。

表7 圖像加密時間 s

2.8 抗噪性能分析

密文在公開信道傳輸中有時會受到一些噪聲的污染，圖像數(shù)據(jù)相比文本數(shù)據(jù)，冗余度更高，所以算法應(yīng)當(dāng)具有一定的魯棒性，使遭受輕微噪聲污染后的密文圖像依然能解密出部分有效信息。首先，在Baboon密文圖像上添加均值為零，方差分別為0.000 3和0.000 5的高斯噪聲后進(jìn)行解密，結(jié)果如圖6(a)和圖6(b)所示，能夠恢復(fù)出部分有效信息。然后，在Baboon密文圖像上添加均值為零，方差分別為 0.003 和0.005的椒鹽噪聲后進(jìn)行解密，結(jié)果如圖6(c)和圖6(d)所示，也能夠恢復(fù)出部分有效信息。兩階段實(shí)驗結(jié)果表明，文中算法產(chǎn)生的密文圖像在公開信道傳輸中具有較好的抗噪聲性能。

(a)方差0.000 3

3 結(jié)束語

筆者提出一種基于向量運(yùn)算的超混沌快速圖像加密算法。該方法通過量化和重構(gòu)原始超混沌序列，產(chǎn)生統(tǒng)計特性優(yōu)良且與明文圖像尺寸相同的密鑰矩陣，在此基礎(chǔ)上以行向量和列向量為計算單元，在圖像矩陣上實(shí)現(xiàn)了并行密文分組鏈接加密，完成像素信息在密文圖像上的快速全局?jǐn)U散，時間復(fù)雜度僅為線性階O(M+N)。此外，文中會話密鑰由散列函數(shù)計算填充真隨機(jī)數(shù)的明文圖像產(chǎn)生，具有不可預(yù)測性且更加易于存儲和傳輸。實(shí)驗結(jié)果表明，文中算法能夠兼顧運(yùn)行效率和安全性能，且將來通過改進(jìn)和優(yōu)化移植到GPU等并行計算平臺能夠進(jìn)一步提高加速比，具有很高的實(shí)用價值，廣泛適用于圖像實(shí)時保密通信等場合。