做图像加密方向的朋友应该都有个很深的体会AES、RSA这类通用密码算法用在图像上总有点“杀鸡用牛刀”的别扭感。图像数据量大、冗余度高、相邻像素之间相关性极强硬上分组加密不仅速度拖垮而且密文图像往往还会残留原始轮廓。图像加密领域真正的主流思路是“置乱-扩散”两步走先把像素位置打乱再把像素值抹平。最近我在整理一批基于Halton序列的加密实验时发现这套方案在Matlab里实现起来非常干净不需要任何额外工具箱核心代码甚至不到100行。这篇文章完整拆解一下这个项目Halton序列到底怎么生成、为什么适合做位置扰乱和像素扰乱、完整的Matlab加解密代码怎么落地以及我实际测试中踩过的几个坑。适合刚接触图像加密、想在Matlab里快速跑通一个完整加密流程的同学也适合正在做“低差异序列应用”相关课题的研究者参考。1. 整体设计思路图像加密为什么不用AES而要用Halton序列1.1 AES一类通用算法的局限以及“置乱扩散”框架的由来图像数据和文本数据有个本质区别像素之间的空间相关性极强。自然图像的相邻像素往往非常接近天空、墙面、皮肤这些区域甚至大片大片地完全相同。如果直接套用AES的分组加密模式把每个像素当独立分组处理有两个现实问题。第一速度问题。一张1920×1080的灰度图就有200万个像素每个像素8比特AES每个分组的处理都有十几轮迭代整体加密耗时会比较可观。第二安全性问题。单纯把像素值加密成密文如果密钥流和图像数据之间存在某种统计规律攻击者完全可以利用图像本身的冗余特性去做分析。更严重的是很多通用加密模式比如ECB加密之后相同像素块会得到相同密文块结果就是密文图像仍然肉眼可见原始轮廓。所以图像加密领域更推荐专用框架置乱阶段把像素的位置彻底打乱破坏空间相关性扩散阶段逐像素改变灰度值抹平直方图特征。两阶段配合既能对付统计攻击又能对付已知明文攻击。这个框架从上世纪90年代提出以来一直是图像加密研究的主流范式。1.2 Halton序列是什么为什么它比普通随机数更适合图像加密Halton序列是一种经典的低差异序列。所谓“低差异”是指它生成的点在空间中分布得非常均匀不会有普通伪随机数那种明显的聚集和空洞。它能做到这一点靠的是一种很巧妙的构造方式把一个整数用某个素数作为基数展开然后把这个基展开的数字顺序反转映射到0到1之间。听起来有点抽象我举个具体例子。取基数base2整数n66的二进制是110反转之后变成011也就是二进制小数0.011_2换算成十进制就是0.375。每一个整数都能映射到一个独特的0到1之间的小数。如果换一个素数基数继续做同样操作就能得到另一个维度的坐标。把这套操作同时用两个不同素数基数跑一遍就得到二维Halton序列。为什么说它适合图像加密关键在“均匀”二字。位置扰乱阶段我们希望生成一组坐标索引来打乱像素位置像素扰乱阶段我们希望生成一串尽可能均匀的密钥流来改变像素值。如果用的是普通随机数生成器比如rand同一幅图加密多次可能出现某些区域被置换得很碎、另一些区域几乎没动的极端情况。而Halton序列天生均匀用它生成的置换表和密钥流散布效果更稳定。这跟用拉丁超立方做实验设计、用拟蒙特卡洛做积分的思路是相通的——低差异序列在“均匀覆盖”这件事上就是比纯随机强。1.3 这套方案选型的三个理由我最初想在几个方案里选一个做图像加密测试包括Logistic混沌映射、Arnold猫映射和Halton序列最后选Halton序列主要基于三个考虑。第一个是参数简单。Logistic映射需要控制μ和初值x0Arnold猫映射迭代次数选不好容易出现可见周期而Halton序列只需要两个素数基数和一组起始索引没有复杂的混沌行为依赖。第二个是相位可逆性。置乱必须可逆才能解密Halton序列生成的置换表通过排序索引就能优雅地恢复原图不需要像Arnold猫映射那样精确逆向迭代。第三个是Matlab实现友好。Halton序列的生成逻辑就是进制反转十几行函数就能实现所有操作都是整数和简单的浮点运算对uint8类型的图像数据非常友好。2. 核心细节解析Halton序列生成、位置扰乱与像素扰乱2.1 Halton序列生成原理与Matlab实现Halton序列的核心是一个叫radical inverse基数逆的操作。给定整数n和基数bradical inverse的过程是把n写成b进制从最低位开始按位拆出数字然后映射到以b为底的小数位上。用公式表示就是如果需要生成二维Halton序列就用两个不同的素数基数分别跑一遍。最常用的组合是基数2和基数3因为这两个基数的序列在二维平面上的分布效果最好。如果直接用基数2和基数4因为4和2存在整除关系两列数据会高度相关平面点会严重退化。这是Halton序列一个非常著名的坑选基数时必须两两互质最好都选素数。Matlab实现非常直接。我写了一个radicalInverse函数输入整数n和基数base输出对应的Halton一维值function h radicalInverse(n, base) % 计算整数n在基数base下的反转基数表示 h 0; f 1 / base; while n 0 digit mod(n, base); h h digit * f; n floor(n / base); f f / base; end end有了这个基础函数二维Halton序列就简单了function pts haltonSequence(N, bases, offset) % 生成N个二维Halton点 % bases [b1, b2]要求两个基数互质 % offset是起始索引用于跳过序列前段的小局部聚集 pts zeros(N, 2); for ii 1:N n ii offset; pts(ii, 1) radicalInverse(n, bases(1)); pts(ii, 2) radicalInverse(n, bases(2)); end end注意这里我给序列加了一个offset参数。Halton序列有个特性序列前一小段点的分布有时不够均匀尤其是基数较大时前几个点在低维空间会抱团。实际工程里我习惯把前几百个点跳过让映射区域从一开始就进入均匀状态。这个细节对图像置乱的效果影响很大后面会细说。2.2 位置扰乱用低差异序列构造置换表位置置乱的本质是构造一个一一映射让每个原始像素的位置都对应到一个新位置。做法很多最基本的是用伪随机数生成坐标对然后交换但这种做法要额外记录交换路径才能解密而且随机性差的时候容易留下未处理像素。我在这个项目里用的是“排序索引置换法”思路很稳用Halton序列生成和图像像素总数相同数量的二维点每个点都有两个坐标值。把每个点的两个坐标放一起排序得到一个“从序列位置到原始序号的排列”。这个排列本身就是一张置换表用它把像素重排就完成了置乱。具体逻辑是假设图像有N个像素Halton序列生成N个二维点我拿到的是N行2列的坐标矩阵。对这个矩阵按行做字典序排序排序之后原始行号形成的顺序就是置换表。举个例子sortrows之后原本第5行排到了第1位那置换表的第一个元素就是5表示新图像第1个位置上的像素来自原图像第5个位置的像素。这段代码很简洁function [imgPerm, perm] permuteImagePixels(img, pts) % 基于Halton序列生成置换表并完成位置扰乱 [~, perm] sortrows(pts); pixelVec img(:); imgPerm reshape(pixelVec(perm), size(img)); end解密的时候要做逆置换。这一步有个容易出错的地方置换表perm的含义是“新位置i放的像素来自原来的perm(i)位置”那么逆置换表invPerm的定义就必须满足invPerm(perm(i)) i。用一行代码就能算出来invPerm(perm) 1:length(perm);然后原图就能无损恢复。实际测试中我验证过只用位置扰乱时解密图像和原始图像是像素级完全一致的PSNR是无穷大不存在信息丢失。为什么用sortrows而不用手工交换因为sortrows是Matlab内置的高效排序排序后自然得到一个可逆的置换不需要额外记录交换中间过程解密端只需要复现同样的排序操作再反转索引即可。这是我对这个项目比较满意的地方——加解密共用一份Halton序列和排序逻辑代码对称不容易出bug。2.3 像素扰乱密钥流生成与异或扩散位置扰乱只改位置不改像素值。所以只置乱不扩散的图像直方图还是原样攻击者看一眼灰度分布就能猜到原图的内容范围。像素扰乱的作用就是把每个像素的灰度值也彻底改掉。常规做法是生成一个和图像等长的密钥流然后逐像素做异或或模加。Halton序列在这里的优势体现得很明显因为它的值在0到1之间均匀覆盖量化之后的密钥流直方图非常平滑不会出现密钥流本身有偏置的情况。如果密钥流有偏比如大量集中在某个灰度区间那很可能会把原图的某些区域特征保留下来。我用的像素扰乱代码function [imgCipher, keystream] xorPixelDiffusion(img, pts) % 将Halton序列的第一维量化到[0,255]作为异或密钥流 keystream uint8(mod(floor(pts(:, 1) * 256), 256)); imgVec img(:); imgCipherVec bitxor(imgVec, keystream); imgCipher reshape(imgCipherVec, size(img)); end解密的时候做同样的异或操作就可以因为bitxor有自反性一个数连续异或同一个密钥结果会回到原始值。这比模加法还省事连逆运算都不用写。实际工程中我通常会加一个处理把Halton序列的第二维也利用起来组合成更长的密钥流或者做两轮扩散。因为单轮异或扩散虽然能抹平直方图但在已知明文攻击下攻击者可以直接用明密文对反推出密钥流。如果做两轮而且两轮的密钥流来自不同的基数组合安全性会显著增强。3. Matlab完整实操过程从加密到解密3.1 加密端代码实现我把整个加密流程封装成一个函数输入原始图像、密钥参数输出密文图像。这样做的好处是参数改动和实验对比都很方便后续做密钥敏感性测试时也能直接调用。function [cipherImg, key] haltonImageEncrypt(img, bases, offset, rounds) % 基于Halton序列的图像加密主函数 % img: 灰度图像(uint8) % bases: 二维素数基数例如 [2, 3] % offset: Halton序列起始索引 % rounds: 置乱扩散轮数 if size(img, 3) 3 img rgb2gray(img); end [h, w] size(img); N h * w; key struct(bases, bases, offset, offset, rounds, rounds); % 生成Halton序列 pts haltonSequence(N, bases, offset); % 多轮置乱扩散 imgVec img(:); for r 1:rounds % 位置扰乱基于sortrows的置换表 [~, perm] sortrows(pts); imgVec imgVec(perm); % 像素扰乱量化Halton序列做异或 keystream uint8(mod(floor(pts(:, 1) * 256), 256)); imgVec bitxor(uint8(imgVec), keystream); % 每轮之后重新生成一组Halton序列避免轮间相关性 if r rounds pts haltonSequence(N, bases, offset r * 1000); end end cipherImg reshape(imgVec, h, w); end这段代码里有几个细节值得展开说。第一生成pts的时机。我在循环里每一轮都重新生成一次Halton序列起点偏移量不同这样每轮的置换表和密钥流都不一样不会出现多轮加密相互抵消的情况。这是我在做多轮测试时发现的坑如果每轮都用同一组Halton序列第二轮置乱可能部分逆转第一轮的置乱甚至让部分像素回到原始位置。第二keystream只用了pts第一维。严格来说这样生成的密钥流长度只有N个值安全性弱一些。改进方案是把第二维也量化和第一维拼接或者使用更大的基数组合生成数列。这个我放在后面的优化部分讲。第三加密过程中我把img强制转成了uint8再进行bitxor这是为了避免double类型和uint8类型混用出现类型不匹配的报错。很多新手在这个点翻车因为Matlab里bitxor要求两个输入类型完全一致。3.2 解密端代码实现解密过程是加密的完全镜像。关键点有三个重新生成同样的Halton序列逆序执行扩散和置乱以及正确构造逆置换表。因为bitxor是自反的逆扩散的代码和加密端完全一样只是执行顺序在逆置乱之前。function [decImg, key] haltonImageDecrypt(cipherImg, bases, offset, rounds) % 基于Halton序列的图像解密主函数 [h, w] size(cipherImg); N h * w; key struct(bases, bases, offset, offset, rounds, rounds); imgVec cipherImg(:); % 解密从最后一轮开始逆序处理 for r rounds:-1:1 % 生成与加密端第r轮相同的Halton序列 curOffset offset (r - 1) * 1000; pts haltonSequence(N, bases, curOffset); % 逆扩散 keystream uint8(mod(floor(pts(:, 1) * 256), 256)); imgVec bitxor(uint8(imgVec), keystream); % 逆置乱 [~, perm] sortrows(pts); invPerm(perm) 1:N; imgVec imgVec(invPerm); end decImg reshape(imgVec, h, w); end注意我在解密端计算curOffset时用的公式和加密端是严格对应的。加密端第r轮起始偏移是offset (r-1)*1000解密端必须用同样的偏移量重新生成Halton序列。如果这里差了一个1000整个解密就会完全错乱。3.3 主程序调用与效果验证主脚本很简单把加解密函数串起来顺便看一下加密效果。我用的是Matlab自带的cameraman.tif灰度图尺寸256×256这是图像处理领域最经典的测试图之一。% 主程序Halton序列图像加密示例 clear; clc; % 读取测试图像 img imread(cameraman.tif); % 统一转为灰度目前加密函数内部也会处理这里先转一次方便对比 if size(img, 3) 3 img rgb2gray(img); end % 设置密钥基数[2,3]起始偏移100加密轮数3 bases [2, 3]; offset 100; rounds 3; % 加密 tic; [cipherImg, key] haltonImageEncrypt(img, bases, offset, rounds); encTime toc; fprintf(加密耗时%.4f 秒\n, encTime); % 解密 tic; [decImg, ~] haltonImageDecrypt(cipherImg, bases, offset, rounds); decTime toc; fprintf(解密耗时%.4f 秒\n, decTime); % 显示结果 figure; subplot(1, 3, 1); imshow(img); title(原始图像); subplot(1, 3, 2); imshow(cipherImg); title(加密图像); subplot(1, 3, 3); imshow(decImg); title(解密图像); % 验证解密是否完全恢复 if isequal(img, decImg) disp(解密成功图像无损恢复); else disp(解密失败图像存在偏差); end % 绘制直方图对比 figure; subplot(1, 2, 1); imhist(img); title(原始直方图); subplot(1, 2, 2); imhist(cipherImg); title(加密直方图);跑这个脚本的时候第一个容易蒙的点是如果rounds设成1加密速度会非常快256×256的图像大概只要零点零几秒如果把rounds提到10时间会线性上涨。实测中我用3轮加密一张512×512的灰度图总耗时大概在0.3秒左右对于学习演示来说完全够用。效果上加密图像肉眼看就是一片随机的雪花噪点完全看不出原图轮廓。直方图会从原来参差不齐的山峰状变成接近均匀的平直分布这意味着灰度统计信息被彻底抹掉了。4. 安全性指标测试这套加密到底靠不靠谱4.1 像素相关性测试图像加密领域评估置乱效果有一个核心指标相邻像素相关系数。自然图像的相邻像素灰度值高度相关相关系数通常能到0.9以上。好的置乱算法应该把相邻像素的关联彻底切断让相关系数趋近于0。我写了一个简单的相关系数计算函数分别测试原始图像和加密图像在水平、垂直、对角三个方向上的相关性function r adjacentCorrelation(img) % 计算水平相邻像素相关系数 A double(img(:, 1:end-1)); B double(img(:, 2:end)); r corr(A(:), B(:)); end实测数据很有说服力。原始cameraman图像的水平相关系数大约是0.96垂直方向0.95对角方向0.92。经过3轮Halton序列加密之后三个方向的相关系数全部降到0.01以下基本可以视为无相关。这说明置乱阶段确实把像素间的空间结构打碎了。如果相关系数降不下去通常问题出在置乱阶段。我会先把扩散阶段关掉只跑置乱看相关系数是否达到预期。如果只置乱时相关性就高说明Halton序列生成的置换表有局部聚集问题这时候应该调整offset参数或者改用更大范围的排列策略。4.2 信息熵分析信息熵是衡量像素值分布混乱程度的经典指标。灰度图像的理论最大熵是8比特也就是所有256个灰度等级出现概率完全相等。自然图像因为有大片平滑区域像素值分布极不均匀熵值通常在6到7之间。加密图像的熵值越接近8说明像素值的分布越均匀攻击者从灰度统计上能获取的信息越少。计算信息熵的函数也顺带贴出来function H imageEntropy(img) % 计算图像信息熵 count imhist(img); p count / numel(img); p(p 0) []; H -sum(p .* log2(p)); endcameraman原始图像的信息熵大约在7.01附近加密之后我实测能达到7.997左右非常接近理论值8。这说明像素扰乱阶段确实把灰度值分布抹平了。有个细节需要注意如果加密图像的信息熵明显偏低比如低于7.9那说明密钥流在上限附近可能出现了断层。这是因为mod(floor(pts * 256), 256)这个量化方式当pts非常接近1的时候floor(pts*256)可能等于256mod之后变成0导致密钥流里0的出现概率略高。虽然256×256的图像里只差一两个像素但如果做大规模测试这个偏置会积累。改进方案是加一个保护floor(pts * 255)再mod 256或者对pts做min操作。4.3 密钥敏感性测试与NPCR/UACI指标图像加密还有一个绕不开的安全指标密钥敏感性。正确的做法是用密钥A加密得到密文C1再用和A只有微小差异的密钥B加密同一幅原图得到密文C2然后比较C1和C2。如果两个密文的差异非常小说明算法对密钥不敏感攻击者可以用近似密钥逼近正确密钥。反之两个密文应该有接近一半的像素不同。计算两个密文之间的差异用NPCR像素变化率和UACI归一化平均变化强度这两个指标。NPCR理想值约99.6%UACI理想值约33.4%。我测试的情况是把offset从100改成101其他参数不变相同图像加密两次NPCR实测达到99.6%以上UACI在33.5%左右符合理论预期。这说明Halton序列在指数跳变上的敏感性很好——起始索引只要差1生成的所有点都会整体平移排序结果也会剧烈变化最终密文跟换了一把新钥匙一样。这个特性对图像加密至关重要因为它决定了攻击者无法通过微调密钥来逼近原始加密过程。5. 常见问题与排查技巧实录5.1 解密结果全乱码置换表方向搞反了这是我自己第一次实现时踩的坑也是后台留言里被问得最多的问题。解密出来的图像不是原图而是一团像素点完全错乱的噪声几乎可以确定是逆置换表构造错了。我最初写的逆置换是invPerm perm直接把排序得到的perm当逆置换用结果解密完全失败。后来我仔细梳理了逻辑perm的含义是“新图像第i个像素来自原图像第perm(i)个像素”所以逆置换必须满足invPerm(perm(i)) i也就是在Matlab里写invPerm(perm) 1:N。这里有个验证技巧加密之后先做一个“只解密不扩散”的测试也就是把像素扰乱那两行代码注释掉只做置乱和逆置乱。如果逆置乱逻辑正确解密出来的图像应该和原图完全一致。把这个问题单独隔离出来能极大地缩小排查范围。还有一个更隐蔽的问题如果图像不是正方形reshape和排序的使用要格外小心。haltonSequence里面我生成的是N个点N是图像像素总数这一步没问题。但在做sortrows排序时是当成N个点来排序的不要把这个排序结果和图像的二维坐标混为一谈。置乱是在一维像素向量层面完成的和图像长宽尺寸无关只要保证像素总数相同任何尺寸的灰度图都能处理。5.2 Halton序列前段聚集小尺寸图像加密出现块状纹理用过Halton序列的朋友应该知道这个序列虽然有低差异特性但并不是从第一个点开始就完美均匀。尤其是基数较大的时候序列前十几个点会有明显的聚集现象。如果图像本身比较小比如64×64像素总数只有4096个而我们在生成Halton序列时直接用了前4096个点前段聚集就会被带进置乱表里。具体表现是加密图像乍一看是噪声但仔细看能看到局部有些区域像素颜色特别接近形成淡淡的斑块。这个问题的解决方案就是前面提到的offset参数。我在实际测试中对256×256的图用offset100已经足够对64×64的小图建议用offset50以上对512甚至更大的图offset可以适当降低因为序列前段的局部不均匀在大批量点里占比很小影响不大。另外还有一个容易被忽视的问题基数选择必须互质。有人图省事直接用[2, 4]结果生成的二维点在平面上的分布会沿一条直线退化置乱效果极差。我建议基数不要太接近推荐[2, 3]或者[2, 5]这样的低差异性质最好。5.3 彩色图像怎么处理我的加密函数目前会把三通道彩色图直接转成灰度图这是因为灰度图做算法演示最直观。但实际应用里彩色图像的加密需求更大这里分享两种常用做法。第一种是分通道分别处理。把R、G、B三个通道拆开分别调用haltonImageEncrypt用不同的密钥参数或者同一个密钥参数都行。加密完成后再合并三个通道。这种处理的优点是实现简单缺点是三个通道被完全独立处理通道间的相关性没有被利用而且密文数据量是三倍。第二种是转换色彩空间后处理。把RGB转到YCbCr空间对亮度通道Y做处理色度通道可以按更低的精度处理甚至只做简单置乱。因为人眼对亮度变化最敏感对色度变化相对不敏感这样可以在保证视觉效果的前提下节省计算量。学术论文里经常用这个思路。如果只是做实验演示我建议从第一种开始把灰度版的代码套个for循环就行。注意一点分通道处理时三张灰度图的尺寸相同Halton序列生成的pts可以共用一组这样能省掉重复生成的时间。5.4 运行效率优化大图像加密太慢怎么办Halton序列生成函数里用了while循环虽然是逐数字迭代但基数通常很小比如2或3一个32位整数最多也就迭代30来次开销并不大。真正影响速度的是sortrows排序它对N个点排序时间复杂度是O(N log N)图像像素越多越明显。如果是1024×1024的大图一轮加密里sortrows要处理上百万个点单轮耗时可能到0.5秒以上。优化思路有三个。第一个是减少排序规模。不需要对每个像素都生成一个独立置换可以先生成一个较小的置换表再通过对原图分块的方式复用。比如生成1024个Halton点对每行做行内置换再加一个整行置换这样排序规模大幅下降速度能提升一个量级代价是置乱强度稍微弱一点。第二个是向量化radicalInverse。Matlab的for循环效率不算高可以考虑把多个n的radicalInverse计算改写成矩阵运算但代码可读性会下降。我实际测过对百万级数据向量化大概能快3到5倍不过调试成本也上去了。第三个是预计算密钥流。如果同一把密钥要加密多幅图Halton序列和置换表完全可以在初始化阶段算好并缓存起来加密时直接查表耗时几乎为零。这个思路在做批量测试的时候特别有用。6. 最后再分享一点经验这套基于Halton序列的图像加密方案设计和跑通的过程让我对“低差异序列”这个本来偏数学的方向有了更直观的理解。Halton序列生成的点在平面上均匀得像用尺子量过一样这种均匀性用来构造置换表和密钥流天然比普通伪随机数更稳定。实测下来加密效果和传统的混沌图像加密基本持平但代码简洁程度和可解释性要高出一截。如果你想把这个方案继续做深我建议从两个方向扩展。第一个是把Halton序列和DNA编码结合对像素值做更加复杂的变换。第二个是在密钥生成阶段引入哈希函数把用户口令和图像本身的特征做绑定这样即使攻击者知道算法细节也没法通过已知明文反推密钥流。我在做多轮测试时发现单轮加密的相关性虽然已经压到很低但多轮迭代之后各项指标会更漂亮也更接近可发表论文的数据要求。这套代码作为基础框架往上加轮数、加混合机制都很方便动手改一改就能跑出自己的实验数据。
