k))，k= 1, 2,…，t，则可按 式（2)Lagrange插值公式先对f(x)进行恢复，再对分发的秘密s=f(0)进行重构。
[0093] J
(2)
[0094] 式似中，为（numi-nump在模P上的乘法逆元。
[0095] 式（1)中的模数P只能选取素数，从而保证式（2)中任何一个模P下的非零值 (numi-numj)都存在乘法逆元（/W/H, 。然而在计算机中，数据通常使用二进制来 存储，因此要对秘密信息进行截断处理或选择大于秘密数值上界的模数来进行分存。由 此不可避免地导致嵌入的秘密信息损失一定精度或对模数空间造成较大浪费，从而降低 掩体图像的视觉质量。为避免此类问题，YangCN，化enTS，化KH等将化amir-〇(，N) 分存拓展到GF(28)有限域，可在一定程度上缓解上述问题，但所提方法并未充分地利用 Lagrange多项式的多个系数来尽可能地减少分存信息，同时GF(28)有限域上的运算是建立 在GF(28)域上多项式环的基础上，设及较大的运算代价（YangCN，化enTS，化KH，et al.Improvementsofimagesharingwithsteganographyandauthentication[J].The Journal of Systems and Software, 2007, 80 (7): 1070-1076.)。为避免在 GF (28)有限域 上进行运算所带来的高昂计算代价和提高分存效率，本发明将化amir-(K，脚口限方案约 束在GF (23)有限域来缓解计算代价，同时进一步利用GF (23)有限域分存多项式的多个系数 分存来提高分存效率。式（3)即为GF (23)有限域分存多项式；
[0096]
(3)
[0097] 式做中，a,b,C,d为秘密值，…，rk-4随机数并且满足a,b,C,d,r。fg，… ，rK_4G[0,8)，+和为有限域上的加法和乘法操作，GFQ为有限域计算函数，满足的运算性 质如下：
[009引性质1 ;GF(y)将整数y转换为GF(2D)上的2值多项式./'(刊且多项式的系数只能 是0和1。
[0099] 例如；使用6尸〇可将0，1，2,3,4,5,6,7，11分别转换为0，1，丈，.辛+ 1，丈2，
[0106] 性质7中，^为有限域上的减法操作。
[0107] 将k = 1，2,…，N(N<8)依次代入式做，将得到N个分发信息（1，fGF(l))，但，fcF但)），… ，的枯㈱）。同传统的Shamir-化N) 口限方案一样，从中任取t(t>K)个不同的分发信息 (numk'fGF(numk))'k= 1,2, ...'t可通过式(4)先还原多项式fGF(k)，再通过fcF(k)提取出秘密信 息 a, b，C 和 do
[010 引
[010引 式（4)中，（纖巧全"MWj'短(II,为三顯7!,)-在本原多项式GF(；l0 =i：3+i+L 上的乘法逆元多项式，并且满足((6巧"""!,-職?!^)帖抓,勺?画成^(叫)1110(1叫11104(7巧11)二1。
[0110] 传统有意义图像分存方法通常采用的认证机制都是采用较短的认证码来对分存 信息进行认证，即先分存后认证机制，较短的认证信息也会导致掩体图像持有者对掩体图 像恶意篡改存在较大的概率逃脱检验，从而最终重构出的秘密图像像素的真实性难W得到 检验。
[0111] 同传统有意义图像分存方法不同，本发明采用的认证机制是先认证再分存，即首 先产生秘密像素的认证信息，然后再将秘密像素和认证信息进行分存嵌入到对应的掩体图 像中。在该种认证机制下，一个掩体图像像素被恶意修改将会引起重构多项式发生变化，不 同的多项式将有较大的概率提取出不对应的认证信息和秘密像素，而每个参与者都无法预 知最终重构出的多项式，从而能有效地检测出秘密像素是否准确重构。
[0112] 记秘密图像S= (Su)mxn，其中每个像素Su(0《Su< 256)可用8位2进制位 串（於却…吟)2进行表示。为提高认证精度，本文用式妨计算Su的4比特位认证信息checki,j，记check;,j为（夺''吃。端'带)2，式巧）中"@ "为异或操作。
[0113]
(5)
[0114] 由于数字图像相邻像素具有很强的相关性，若直接对Su和checkU进行分存会 导致秘密图像轮廓暴露的风险，因而本文采用密钥随机生成像素加密映射表对Su进行加 密，再进行分存。其对应的加密方法为：使用密钥key生成序列{0, 1，…，25引上的排列 <也，屯，…，屯55>，根据对Su的值和位置信息使用式做进行加密得到s'U，s'U同样 可用8位2进制位(站…砖勺2隶示。
[01巧]
脚
[0116] 式（6)是根据像素值和像素位置信息对秘密像素进行加密，相邻位置的相同像素 值加密后对应为不同的像素值，从而破坏邻近像素的相关性，相对于对秘密像素直接分存， 具有更高的安全性。
[0117] 将s'U和checkU依次分割成4个3比特位串作为式（3)的系数a,b，c和山如 式（7)所示：
[0118]
(7)
[011引 s'U和checku经式做分存后，可得到N份GF(23)下的分存多项式，记其对应 的整数依次为/茲(化/寡口 )，…，/基(A0，A^<8,然后将分存信息偕作)，* = 1，2，...，^嵌入 到对应掩体图像G=(成:),,。,,，4 = 1，2，~，^对应的像素中，该里可进一步揽乱掩体图像像素 和秘密像素的对应关系W提高安全性。
[0120] 将借作)嵌入到Ck中的方法有2种，第1种是将分存信息/益批)转化为3个比特 位依次替换掩体像素ct.的低3位，第2种是调整掩体图像对应像素的模值来嵌入分存 信息，即使调整后的值巧满足功誦dS=短W从而嵌入分存信息/岩W。在本发明中选 择第2种方法进行嵌入，为获得更好的视觉质量，选择满足<^.mod8 =店(W且最 小的，从而使嵌入信息后的掩体图像获得较好的视觉质量。
[0121] 传统分存方法采用HMAC来改进分存信息认证码的生成策略，但对HMAC的密钥如 何管理并未设及，该里的密钥十分重要，对其不当管理，将会带来较大的安全风险。
[0122]在本发明中，密钥key用于生成加密映射表，同样至关重要，该里采用式（1)将其 进行化，脚分存形成N个分发子密钥f化)，k = 1，2,…，N并分发给对应掩体持有者进行保 管。只有不少于t个参与者提供合法子密钥才能恢复出key,因而具备更高的安全性，并将 子密钥f化)，k = 1，2,…，N的MD5值公布到第3方公信方W防止子密钥持有者篡改子密钥 作弊。
[0123] 在恢复过程，假设有t(t > K)个不同的参与者提供子密钥f (numk)和掩体图像 G,",E口，W]，A: = 1，…，f参与秘密图像重构。首先通过计算f(numk)对应的MD5值与第 3公信方公布的MD5是否相等，若相等则表示f(numk)合法，反之不合法。若合法的子密钥 数小于口限K将无法恢复出密钥key,从而不能对秘密像素进行解密。
[0124] 为便于描述，该里假设t个参与者提供的子密钥均合法。记通过认证的参与者子 密钥信息为（nunik，f (nunik))，k = 1, 2,…，t，则可通过式（2)还原得到密钥key,并用密钥 k巧再次生成序列<0, 1，2,…，255〉的排列<q。，q。屯，…，9255〉用于解密像素。
[012引对于位置（i，如，0《i<m，0《j<n，可通过式做来提取掩体图像该位置嵌入 的分存信息獻。
[0126]
(8)
[0127]将转化成有限域GF炒）下对应的多项式，按式（4)恢复 式（3)，提取出式（3)的4个系数即式（7)中的a,b，C和山得到加密后的秘密像素 <.,=(皆―坤―^―…却―和认证码=恃乂'端皆)2，使用式巧）将S'1，J解密得到秘密像素 A,=(皆片L?却勺2，其中函数id(V)表示排列<q。，屯，…，屯55〉中V所对应的下标索引，即 Si，j。
[012 引Si，j二id((s'ij+i+j)mod256) (9)
[012引由Su通过式妨再次计算S u的认证信息你'啼j瑞j带)2，若(皆X"瑞"矿 等于(夺'々'1瑞1咕1 )2，则认为该秘密像素未被攻击且正确恢复，并置bu= 1，表示认证通 过；反之令bu=0,置S u=128,即认证不通过。当所有像素处理完后即可重构出秘密图 像S = (Su)mxn和认证图B=化i，j)mxn。
[0130]W下给出完整的基于GF(23)的化脚有意义图像分存方法，记为方法1 :
[0131] 第1步；获得秘密图像S= (su)mx济N张掩体图像C* =(冷),，…,，A^ = 1，2,…，V，选 取K和密钥key的值；
[013引第2步；使用式（1)将密钥key进行分存得到N个子密钥f(k)，k=1，2,…，N并 将对应子密钥的MD5值公布到第3方公信方；
[0133]第3步；使用密钥k巧生成排列<q。，q。…，9255〉；
[0134] 第4步；对于S= (Su)mx。的像素、=(皆申??皆)2，用式妨得到其认证信息 c/wc/t,,=价X"喘X;' )2，用式做得到加密后的也=杉八r…却，通过式（7)得到a，b， C和d并用式做进行分存得到分存信息/茲(1)，/茲口)，…，借(W)，W<8;
[01对第5步：分存信息/盗战）嵌入到掩体图像q_=咕.L,,对应位置<,，A= 1，2，...，W, 该里可进一步揽乱掩体图像像素和秘密像素的对应关系W提高安全性；<