Steganalysis là công nghệ cố gắng đánh bại steganography bằng cách phát hiện dữ liệu ẩn và trích xuất hoặc phá hủy nó. Steganalysis là quy trình phát hiện steganography bằng cách nhìn vào sự khác biệt giữa các mẫu bit và kích thước tệp lớn bất thường. Đây là nghệ thuật tìm và làm vô nghĩa tin nhắn bí mật.
Mục tiêu chính của steganalysis là nhận diện các luồng dữ liệu đáng ngờ, xác định xem chúng có tin nhắn ẩn được mã hóa vào hay không, và nếu áp dụng, khôi phục dữ liệu ẩn.
Steganalysis thường bắt đầu với một số luồng dữ liệu đáng ngờ nhưng không chắc chắn liệu bất kỳ cái nào trong số đó có tin nhắn ẩn hay không.
Người phân tích steganalysis (steganalyst) bắt đầu bằng cách thu hẹp nhóm luồng dữ liệu đáng ngờ thành tập con các luồng dữ liệu được thay đổi có khả năng nhất. Điều này thường được hoàn thành bằng phân tích thống kê sử dụng kỹ thuật thống kê nâng cao.
Có nhiều kỹ thuật steganalysis như sau:
Mẫu bất thường (Unusual patterns)
Mẫu bất thường trong hình ảnh stego là đáng ngờ. Ví dụ, có một số dịch vụ phân tích đĩa có thể lọc dữ liệu ẩn trong phân vùng không sử dụng trong thiết bị lưu trữ.
Bộ lọc cũng có thể được dùng để nhận diện gói TCP/IP bao gồm thông tin ẩn hoặc không hợp lệ trong header gói. Gói TCP/IP được dùng để truyền dữ liệu qua Internet có khu vực không sử dụng hoặc dành riêng trong header gói.
Phát hiện trực quan (Visual detection)
Phân tích mẫu lặp lại có thể tiết lộ sự nhận diện của công cụ steganography hoặc dữ liệu ẩn. Có thể kiểm tra các mẫu này như phương pháp là phân tích hình ảnh che giấu ban đầu với hình ảnh stego và sự khác biệt có thể phát hiện. Điều này được gọi là known-carrier attack (tấn công carrier đã biết).
Bằng cách so sánh một số hình ảnh, có thể các mẫu xuất hiện như chữ ký cho công cụ steganography. Có một manh mối trực quan khác cho sự hiện diện của dữ liệu ẩn là padding (đệm) hoặc cắt xén (cropping) hình ảnh.
Với một số công cụ stego nếu hình ảnh không phù hợp vào kích thước cố định nó bị cắt xén hoặc đệm với khoảng trống đen. Có thể cũng có sự khác biệt trong kích thước tệp giữa stego-image và cover image.
Chỉ báo khác là sự tăng hoặc giảm lớn trong số lượng màu cụ thể, hoặc màu trong palette tăng dần thay vì ngẫu nhiên.
Công cụ phát hiện Steganography (Tools to detect Steganography)
Vô hiệu hóa hoặc loại bỏ dữ liệu ẩn trong hình ảnh dựa trên phương pháp xử lý hình ảnh. Ví dụ, với phương pháp LSB chèn thông tin, chỉ nén hình ảnh sử dụng nén có mất dữ liệu (lossy compression) là đủ để vô hiệu hóa hoặc xóa tin nhắn ẩn.
Có một số công cụ phát hiện steganographic có sẵn bao gồm Encase bởi Guidance Software Inc., ILook Investigator bởi Electronic Crimes Program, Washington DC, một số dịch vụ băm MD5, v.v.
Có một số công cụ steganography hình ảnh sử dụng sửa đổi bit ít quan trọng nhất (LSB) để ẩn dữ liệu. Trong hình ảnh độ phân giải thấp với màu 8 bit, sửa đổi LSB có thể tạo ra sự thay đổi nhận thấy trong bảng màu, làm cho có thể nhận diện nội dung ẩn.