قد تبدو مكالمة VoIP طبيعية تمامًا، ومع ذلك تحمل معلومات مخفية داخل تدفق الكلام المضغوط. وهذا ما يجعل اكتشاف إخفاء المعلومات في الصوت أمرًا صعبًا. لا يحتاج المهاجم إلى إرسال ملف واضح أو فتح قناة نقل مشبوهة أو تغيير مسار المكالمة بصورة ظاهرة. بل يمكنه تضمين البيانات السرية في معلمات برنامج الترميز أو اختيارات الكلمات الرمزية أو قيم تأخير النغمة أو عناصر ترميز الكلام منخفضة المستوى الأخرى.

قد تبقى المكالمة واضحة بما يكفي للمستمع البشري، وقد تبدو الحزم لمراقب الشبكة الأساسي كأنها حركة صوت عادية. وغالبًا لا يظهر الاضطراب الحقيقي إلا عند فحص بنية الكلام المضغوط إحصائيًا. لذلك يتطلب تحليل الإخفاء في VoIP منظورًا أمنيًا مختلفًا؛ إذ يجب أن يفهم بيئة بروتوكولات الاتصال والسلوك الداخلي لبرنامج ترميز الصوت معًا.

يُعد G.729 حالة مناسبة لهذا النوع من التحليل لأنه يضغط الكلام في تدفق بتات مدمج ومنظم. تُعالج كل رُزمة كلام مدتها 10 ms بواسطة نموذج CS-ACELP، وتُمثل بمعاملات التنبؤ ومؤشرات دفاتر الشفرات ومعلمات النغمة وقيم الكسب. وعند إدخال بيانات مخفية في هذه البنية قد تترك آثارًا صغيرة لكنها قابلة للقياس. ويساعد الجمع بين استخراج الخصائص الإحصائية والتصنيف بالشبكات العصبية العميقة على كشف هذه الآثار مع إبقاء زمن الاستجابة منخفضًا بما يكفي للاستخدام الفوري.

لماذا يصعب إخفاء البيانات في الصوت

إخفاء المعلومات ليس هو التشفير. يحمي التشفير محتوى الرسالة بجعله غير مقروء للأطراف غير المصرح لها، لكنه لا يخفي بالضرورة وجود الاتصال نفسه. أما إخفاء المعلومات فيحاول إخفاء حقيقة وجود رسالة سرية من الأساس. وفي VoIP يمكن أن يتحول تدفق صوت عادي إلى قناة خفية دون تغيير الغرض الظاهر للمكالمة.

تحاول طريقة الإخفاء القوية عادة تحقيق التوازن بين ثلاثة أهداف: الشفافية والسعة والمتانة. تعني الشفافية ألا يبدو الصوت المعدل مريبًا وألا ينتج آثارًا إحصائية واضحة. وتشير السعة إلى كمية البيانات السرية التي يمكن تضمينها. أما المتانة فتعبر عن قدرة المعلومات المخفية على البقاء بعد الضغط والضوضاء ومعالجة الحزم وأشكال التشويه الأخرى.

بالنسبة إلى نظام الكشف تنعكس المشكلة؛ إذ يجب عليه العثور على الأنماط الضعيفة التي تحاول طريقة الإخفاء تمويهها. قد تكشف أدوات أمن الشبكات التقليدية منافذ غير مألوفة أو اندفاعات في الحركة أو هجمات الإشارة، لكن البيانات المخفية على مستوى برنامج الترميز قد تبقى أسفل مستوى الرؤية هذا. لذلك يجب أن يفحص الكاشف سلوك رُزم الكلام، لا رؤوس الحزم أو بيانات المكالمة الوصفية فقط.

تضيف حركة الصوت في الزمن الحقيقي قيدًا آخر. فالاتصال عبر VoIP حساس للتأخير، ولذلك لا يمكن أن يعتمد الكشف على معالجة بطيئة خارج الخط. يجب أن يعمل نموذج عملي لتحليل الإخفاء على نوافذ صوت قصيرة، وأن يعطي نتائج بسرعة، وألا يضيف زمن تأخير ملحوظًا إلى مسار المكالمة. الدقة مهمة، لكن السرعة مهمة بالقدر نفسه عندما يكون الهدف هو المراقبة المباشرة.

يترك G.729 آثارًا قابلة للكشف

يرمز G.729 الكلام بسرعة 8 kbit/s. وعند معدل أخذ عينات يبلغ 8000 Hz تحتوي كل رُزمة مدتها 10 ms على 80 عينة. وبدل إرسال شكل الموجة الأصلي، يحلل برنامج الترميز الإشارة الصوتية ويرسل مجموعة مدمجة من معلمات النموذج تتيح لفك الترميز إعادة بناء كلام مفهوم.

ترتبط عدة أجزاء من عملية الترميز هذه بتحليل الإخفاء. يستخرج تحليل التنبؤ الخطي معلومات طيفية قصيرة المدى. ثم تتحول المعاملات الناتجة إلى تمثيلات مرتبطة بـ LSP أو LSF وتخضع للتكميم المتجهي. وفي G.729 يستخدم هذا التكميم المرتبط بـ LSP بنية من 18 بتًا تحتوي على القيم L0 وL1 وL2 وL3.

تُعد مؤشرات دفاتر الشفرات L1 وL2 وL3 مهمة خصوصًا للإخفاء القائم على QIM. يُمثل L1 بمؤشر من 7 بتات، بينما يُمثل L2 وL3 بمؤشرين من 5 بتات. ولا تحمل هذه القيم بيانات عشوائية فحسب، بل هي جزء من بنية إحصائية لترميز الكلام. وعندما تتلاعب خوارزمية الإخفاء باختيار الكلمات الرمزية فقد تفسد العلاقة الطبيعية بين هذه القيم.

يوفر تحليل النغمة مجالًا آخر للكشف. يقسم G.729 كل رُزمة مدتها 10 ms إلى رُزمتين فرعيتين مدة كل منهما 5 ms. ويقدر المرمز قيم تأخير النغمة لهاتين الرُزمتين. تستخدم الرُزمة الفرعية الأولى 8 بتات لترميز التأخير، بينما تستخدم الثانية 5 بتات مع الترميز التفاضلي. ويمكن للإخفاء القائم على PMS تعديل السلوك المرتبط بالنغمة، مما يجعل P1 وP2 وأجزاءهما الصحيحة والكسرية خصائص مفيدة للكشف.

اختلاف QIM وPMS وHPS

يصبح تحليل الإخفاء في VoIP أكثر فاعلية عند معالجة طرق الإخفاء المختلفة بصورة منفصلة. فلا تؤثر QIM وPMS وHPS في خصائص برنامج الترميز نفسها بالطريقة نفسها. ويمكن للنموذج الذي يفهم هذه الاختلافات استخراج أدلة أكثر دلالة من كاشف يعامل كل الكلام المخفي على أنه شذوذ عام واحد.

يرتبط تضمين مؤشر التكميم، أو QIM، بتكميم معاملات LSP. وبصورة مبسطة يمكن تقسيم الكلمات الرمزية داخل دفاتر الشفرات إلى مجموعات تمثل قيم البتات المخفية. ولتضمين بت سري يختار المرمز كلمة رمزية مناسبة من المجموعة المرتبطة بذلك البت. وقد تبقى جودة الكلام مقبولة، لكن توزيع اختيارات الكلمات الرمزية L1 وL2 وL3 وترابطها قد يتغيران.

تستخدم استغانوغرافيا تضمين النغمة، أو PMS، معلومات تأخير النغمة بوصفها منطقة التضمين. ولأن G.729 يقدر سلوك النغمة في الرُزم الفرعية، تستطيع التغييرات الصغيرة في معلمات التأخير حمل بيانات مخفية. لذلك يركز كشف PMS بصورة أكبر على خصائص P1 وP2، بما فيها مكوناتهما الصحيحة والكسرية.

تُعد الاستغانوغرافيا المتوازية غير المتجانسة، أو HPS، أكثر صعوبة لأنها تجمع QIM وPMS. قد تتبع رُزمة سلوكًا من نوع QIM، بينما تتبع أخرى سلوكًا من نوع PMS. وهذا يجعل الإشارة أقل استقرارًا من منظور الكشف. ويجب على النموذج التعرف على آثار مختلطة ومتبادلة بدل الاعتماد على عائلة خصائص واحدة.

الخصائص الإحصائية تبني النموذج

لا يلغي التعلم العميق الحاجة إلى تصميم الخصائص بعناية. وتُعد المعالجة المسبقة من أهم خطوات تحليل الإخفاء في VoIP. فلا ينبغي أن يستقبل النموذج شكل موجة صوتية معاد بناؤها فقط، بل يجب أن يستقبل أيضًا معلمات برنامج الترميز الأكثر احتمالًا للتأثر بتضمين البيانات المخفية.

بالنسبة إلى كشف QIM، تمثل L1 وL2 وL3 مدخلات أساسية. ويمكن للتحليل الإحصائي مقارنة الفروق المطلقة بين الكلام الحامل والكلام المخفي في خصائص الكلمات الرمزية هذه. ويتغير نمط الاضطراب مع تغير معدل التضمين. وعند المعدلات الأعلى قد تصبح التغيرات الموضعية في L1 وL2 أوضح، كما قد يظهر L3 تشوهًا أكبر في بعض الظروف.

بالنسبة إلى كشف PMS، تصبح الأجزاء الصحيحة والكسرية من P1 وP2 أكثر فائدة. ولا يتصرف الاضطراب دائمًا بطريقة خطية بسيطة؛ فقد تؤثر بعض حالات التضمين بوضوح أكبر في الجزء الصحيح، بينما تؤثر حالات أخرى في السلوك الكسري. وغالبًا لا تكفي قيمة واحدة. ويوفر الجمع بين أبعاد متعددة مرتبطة بالنغمة أساسًا أقوى للتصنيف.

العلاقات بين الرُزم مهمة بقدر خصائص الرُزمة الواحدة. قد تبدو رُزمة كلام منفردة شبه طبيعية، لكن سلسلة من الرُزم يمكن أن تكشف تغير أنماط الترابط. وينشئ ترميز الكلام الطبيعي علاقات بين الرُزم المتجاورة وقيم دفاتر الشفرات ومعلمات النغمة. وقد تضعف البيانات المخفية هذه العلاقات أو تعيد تشكيلها. وتساعد الخرائط الحرارية ومصفوفات الترابط والتحليل متعدد الأبعاد على إظهار هذه التغيرات الدقيقة قبل أن ينفذ النموذج العصبي التصنيف.

التصنيف العصبي يزيد السرعة

في سير عمل عملي يمكن تحويل ملفات كلام G.729 إلى تمثيلات منظمة للخصائص تشبه النص. تقابل كل رُزمة مدتها 10 ms معلومات مرمزة على مستوى البتات. وتحتوي عينة مدتها ثانية واحدة على نحو 100 رُزمة، وهو ما يكفي لالتقاط السلوك الإحصائي قصير المدى دون الحاجة إلى تحليل طويل خارج الخط.

يمكن للنموذج المصمم جيدًا استخدام مسارات تعلم منفصلة للخصائص المرتبطة بـ QIM وتلك المرتبطة بـ PMS. وهذا منطقي لأن عائلتي الخصائص تأتيان من آليتين مختلفتين في برنامج الترميز. وإذا خُلطت كل الخصائص مبكرًا فقد يفقد النموذج تفاصيل مهمة. وتسمح الفروع المنفصلة للشبكة بتعلم سلوك الكلمات الرمزية وسلوك النغمة بوضوح أكبر قبل دمجهما في التصنيف النهائي.

أثناء التدريب يتعلم المصنف التمييز بين البيانات الحاملة والبيانات المخفية. تمثل البيانات الحاملة كلامًا مضغوطًا طبيعيًا، بينما تمثل البيانات المخفية كلامًا عُدل بواسطة QIM أو PMS أو طرق تضمين مرتبطة بهما. ويجب أن يمنع تصميم مجموعة البيانات النموذج من حفظ خصائص متحدث معين أو عينة معينة. ويساعد فصل المتحدثين ومصادر الكلام بين التدريب والاختبار على تقييم ما إذا كان الكاشف يتعلم آثار البيانات المخفية بدل هوية الصوت.

تؤثر معلمات التدريب أيضًا في الموثوقية. يمكن لـ Dropout تقليل فرط التوافق، ويمكن لتحسين Adam زيادة استقرار التدريب. ويجب موازنة حجم الدفعة وعدد دورات التدريب وعمق الشبكة مع موارد الحوسبة المتاحة وأهداف النشر. وقد يحسن نموذج ضخم جدًا دقة المختبر، لكنه يصبح غير عملي للمراقبة الفورية إذا كان الاستدلال بطيئًا للغاية.

نتائج الزمن الحقيقي مهمة

توضح الطريقة المقيمة قيمة الجمع بين المعالجة الإحصائية المسبقة والشبكات العصبية العميقة. بالنسبة إلى عينات صوتية مدتها 1000 ms بلغت دقة الكشف المعلنة نحو 98.85% لـ QIM و96.94% لـ PMS و91.90% لـ HPS. وكان زمن استجابة الاختبار أقل من 5 ms، وهو أمر مهم لتطبيقات تحليل الإخفاء في الزمن الحقيقي.

انخفاض دقة HPS مفهوم؛ فالسلوك المختلط للإخفاء ينشئ توزيعًا أكثر تعقيدًا للخصائص. ويجب على النموذج التعرف على اضطرابات QIM وPMS وفهم كيفية ظهورها في رُزم مختلفة. وبالمقارنة مع الإخفاء بطريقة واحدة، يقترب HPS من سيناريو أمني صعب لأنه يقلل موثوقية الكشف المعتمد على خاصية واحدة.

من منظور هندسي يمكن استخدام تحليل الإخفاء في VoIP بالزمن الحقيقي داخل بوابات صوت خاضعة للتحكم أو منصات أمن صوت مؤسسية أو أنظمة جنائية مخبرية أو بيئات مراقبة على مستوى شركات الاتصالات. ويمكنه استكمال أمن SIP وتحليل حركة RTP والتحكم بسياسات SBC وحوكمة تسجيل المكالمات وكشف الشذوذ.

لا يزال النشر يتطلب الحذر. فقد تؤثر خسارة الحزم والتذبذب وإعادة الترميز واختلاف الأجهزة الطرفية والضوضاء الخلفية وكبت الصمت والوسائط المشفرة والتفاوض على برامج الترميز في استخراج الخصائص. ولا ينبغي افتراض أن نموذجًا مدربًا حول G.729 سيعمل مباشرة مع AMR أو Opus أو G.711 أو برامج ترميز أخرى. فلكل برنامج ترميز بنيته الخاصة، ولذلك يلزم عادة إعادة تصميم استخراج الخصائص وتدريب النموذج.

الاستخدام الأمني يحتاج إلى حدود

تحليل الإخفاء في VoIP قدرة أمنية، لكنه يتعامل أيضًا مع بيانات الاتصالات الصوتية. ويجب أن يحدد أي نشر تشغيلي نطاق المراقبة وقواعد التفويض وفترات الاحتفاظ بالبيانات وصلاحيات الوصول وإجراءات التدقيق. وينبغي ألا يتحول كشف القنوات الخفية إلى مراقبة صوتية غير منضبطة.

يركز التصميم الأكثر أمانًا، حيثما أمكن، على معلمات برنامج الترميز والأنماط الإحصائية ومؤشرات الشذوذ بدل الوصول غير المقيد إلى محتوى المكالمات. وعندما يلزم التحليل الجنائي يجب أن يُدار بصلاحيات قائمة على الأدوار وتسجيل الأحداث ومسارات الموافقة. ويحسن هذا النهج أمن الشبكة الصوتية مع تقليل مخاطر الخصوصية والامتثال.

من المرجح أن يتجه مستقبل تحليل الإخفاء في VoIP نحو نماذج أخف واستجابة أسرع وتعميم أفضل بين برامج الترميز ومقاومة أقوى لطرق الإخفاء التكيفية. وسيظل التحليل الإحصائي مهمًا لأنه يوضح مواضع اضطراب سلوك برنامج الترميز. كما سيظل التعلم العميق مهمًا لأنه يستطيع تعلم علاقات معقدة يصعب تعريفها يدويًا.

الأسئلة الشائعة

كيف يختلف تحليل الإخفاء في VoIP عن مراقبة جودة الصوت؟

تفحص مراقبة جودة الصوت التأخير وخسارة الحزم والتذبذب ووضوح الصوت، بينما يبحث تحليل الإخفاء في VoIP عن أنماط بيانات مخفية داخل معلمات برنامج الترميز وسلوك الكلام المضغوط.

لماذا يُستخدم G.729 كثيرًا في هذا النوع من الأبحاث؟

يمتلك G.729 بنية واضحة لرُزم منخفضة المعدل ومؤشرات محددة لدفاتر الشفرات ومعلمات للنغمة، مما يجعله مناسبًا لدراسة كيفية تغيير البيانات المخفية لخصائص الكلام المضغوط.

هل تضمن الدقة العالية في المختبر الجاهزية التجارية؟

لا. يجب اختبار النظام العملي أيضًا مع أجهزة طرفية مختلفة وتدهور الشبكة وإعدادات برامج الترميز ومسارات إعادة الترميز ومعدلات الإنذارات الكاذبة ومتطلبات الامتثال.

لماذا يصعب اكتشاف HPS أكثر من QIM أو PMS منفردين؟

يجمع HPS سلوكين مختلفين للتضمين، ولذلك يجب على النموذج التعرف على اضطرابات مختلطة في الكلمات الرمزية وتأخير النغمة بدل نمط خصائص ثابت واحد.

ما الذي ينبغي للمؤسسات فحصه قبل النشر؟

ينبغي تقييم نطاق التفويض وقواعد الخصوصية وسياسة الاحتفاظ وزمن المعالجة وتوافق برامج الترميز والإنذارات الكاذبة وحمل النظام والتكامل مع منصات أمن VoIP القائمة.

يحسن التعلم العميق تحليل الإخفاء في VoIP عندما يستند إلى تحليل إحصائي واعٍ ببرنامج الترميز. يبدأ النهج الأقوى بتحديد خصائص G.729 الأكثر احتمالًا للاضطراب، ثم يحولها إلى مدخلات منظمة للنموذج، ويستخدم بعد ذلك تصنيفًا سريعًا لدعم المراقبة الأمنية بالزمن الحقيقي. وبالنسبة إلى المؤسسات التي تعتمد على الاتصالات الصوتية عبر IP، يمكن لهذا النوع من الكشف إظهار مخاطر اتصال خفية قد لا تكتشفها فحوص الشبكات العادية.