Asymmetric Phase Coding Audio Watermarking

기술 요약: 비대칭 위상 코딩 (APC) 오디오 워터마킹

문제 제기
고충실도 딥페이크 오디오의 급증은 음성 기반 인증 시스템을 위협하고 있습니다. 수동 포렌식 탐지기가 존재하지만, 두 가지 본질적인 한계를 겪고 있습니다: (1) 생성 모델이 진화함에 따라 적대적 적응에 취약하며, (2) VoIP, 코덱, 셀룰러 전송과 같은 실제 채널 왜곡에 의해 종종 파괴되는 통계적 아티팩트에 의존합니다. 또한, 표준 스테가노그래피 워터마킹은 암호학적 부인 방지 (non-repudiation) 가 부족합니다. 알고리즘을 아는 누구든 "유효한" 워터마크를 위조할 수 있기 때문입니다. 메타데이터 기반 서명 (예: C2PA 매니페스트) 은 재인코딩이나 플랫폼 처리 과정에서 메타데이터가 자주 제거되어 신호 자체가 검증되지 않기 때문에 충분하지 않습니다.

방법론
저자들은 오디오를 위한 훈련이 불필요한 암호학적 서명 계층인 **비대칭 위상 코딩 (APC)**을 제안합니다. APC 는 독립적으로 작동하거나 학습된 신경 워터마크와 스택될 수 있는 컴팩트하고 감사 가능한 출처 원시 (provenance primitive) 로 설계되었습니다. 시스템은 다음과 같이 작동합니다:

1. 암호학적 페이로드 구성:

   • 평문 메시지 $M$을 Ed25519(EdDSA)로 서명하여 128 비트 고전적 보안을 가진 64 바이트 서명을 생성합니다.
   • 페이로드에는 길이 접두어, 메시지, 서명이 포함됩니다.
   • 이 페이로드는 리드 - 솔로몬 (RS) 외부 코드 ($t=30$ 패리티 심볼) 로 인코딩되어, 암호학적 검증 전에 최대 15 바이트 오류를 수정할 수 있습니다.

2. 하이브리드 임베딩 채널:
   시스템은 호스트 오디오의 단시간 푸리에 변환 (STFT) 에 RS 인코딩된 페이로드를 두 개의 병렬 블라인드 채널을 통해 임베딩합니다:

   • 위상 채널: 공개 키로 시드된 의사 난수 STFT 빈 선택을 60300 빈 범위 (약 1.36.5 kHz) 에서 사용합니다. 비트는 $\pm \pi/2$ 위상 이동에 매핑됩니다. 이 채널은 많은 왜곡에 강건하지만, 위상 에너지를 재분배하는 손실 코덱 (MP3/OGG) 하에서는 붕괴됩니다.
   • 크기-QIM 채널: 서로 다른 빈 집합에서 작동하는 병렬 채널입니다. 인접한 빈 쌍의 로그 크기 차이에 **양자화 인덱스 변조 (QIM)**를 사용하여 동일한 페이로드를 인코딩합니다. 이 채널은 위상 채널이 실패하는 손실 압축 (MP3/OGG) 을 견디도록 특별히 설계되었습니다.
   • 소프트 디코딩: 추출 시, 시스템은 하드 비트에 투표하는 대신, 손실 압축 하에서 강건성을 향상시키기 위해 여러 프레임 복제본에 걸쳐 위상 사인과 크기 코사인 연속 소프트 값을 합산한 후 임계값을 적용합니다.

3. 블라인드 추출 및 검증:
   추출에는 오디오 신호와 공개 키만 필요합니다. 공개 키는 두 채널의 빈 선택 패턴을 재생성합니다. 시스템은 먼저 위상 채널을 디코딩하려 시도하며, 실패하면 크기 채널을 시도합니다. 어느 채널이든 페이로드를 성공적으로 디코딩하고 Ed25519 서명이 공개 키에 대해 검증되면 콘텐츠가 인증됩니다.

주요 기여

1. 위상 도메인 워터마킹: 블라인드이고 지각할 수 없는 임베딩을 위한 의사 난수 STFT 빈 선택을 사용하는 방식.
2. 크기-QIM 생존 채널: 동일한 STFT 위에서 작동하는 독립적인 채널로, 최소한의 지각적 비용으로 손실 코덱 (MP3/OGG) 에 대한 강건성을 크게 향상시킵니다.
3. 암호학적 부인 방지: Ed25519 서명과 리드 - 솔로몬 오류 정정을 통합하여, 표준 스테가노그래피와 달리 개인 키 보유자만이 유효한 워터마크를 발행할 수 있음을 보장합니다.
4. 대규모 평가: 코덱 재인코딩, 리샘플링, 저역 통과 필터링, 크롭핑을 포함한 여덟 가지 공격 구성 하에서 1,000 개의 LibriSpeech 클립에 대한 포괄적인 벤치마크.
5. 위협 모델 정의: 위조(개인 키 없이는 불가능) 와 말소(가능하지만 지각적으로 비용이 큼) 사이의 명확한 구분을 제시하여, 메타데이터만 사용하는 서명과 APC 를 대비시킵니다.

결과
1,000 개의 LibriSpeech test-clean 클립 (10 초, 44.1 kHz) 에서 평가된 하이브리드 APC 시스템은 다음과 같은 결과를 달성했습니다:

• 검증률: 128 kbps 의 MP3 및 OGG를 포함한 여덟 가지 공격 구성 전반에 걸쳐 97.5% 에서 98.3% 사이.
• 강건성 향상: 크기-QIM 채널은 MP3 128 kbps 에 대한 검증률을 위상 전용 (77%) 에서 97.5% 로, OGG 128 kbps 에 대해서는 73% 에서 97.5% 로 높였습니다.
• 지각적 품질: 평균 PESQ 점수는 3.02(와이드밴드)였으며, 위상 전용 변형 (3.26) 대비 약 0.24 점 감소했습니다. 비공식 청취 테스트에 따르면 하이브리드 코더는 깨끗한 음성에서 지각적으로 투명하게 유지되었습니다.
• 지연 시간: 임베딩 및 추출은 단일 CPU 스레드에서 수십 밀리초 내에 발생하며 (10 초 클립당 약 71.0 ms 임베딩 / 57.9 ms 추출), GPU 가 필요하지 않습니다.
• 적대적 말소: 화이트박스 공격 분석 결과, 위상 무작위화 강도 ($\alpha$) 가 0.5 에 도달할 때만 검증이 붕괴되는 것으로 나타났습니다. 이 시점에서 지각적 품질 (PESQ) 은 크게 하락 (~3.2 에서 ~1.9 로) 하여, 메타데이터를 제거하는 것과 달리 워터마크를 제거하려면 가청 열화가 필요함을 보여줍니다.

의의 및 주장
이 논문은 APC 를 신경 워터마킹 기준 (AudioSeal, WavMark, SilentCipher 등) 에 대한 보완적 솔루션으로 위치시킵니다. 신경 방식은 종종 더 높은 지각적 품질 (PESQ > 4.0) 과 강건성을 달성하지만, 일반적으로 대규모 학습 데이터셋, GPU 리소스를 필요로 하며 암호학적 부인 방지가 부족합니다 (모델을 가진 누구든 마크를 위조할 수 있음).

APC 는 다음과 같은 이유로 중요성을 주장합니다:

• 비대칭 서명: 유효한 워터마크를 생성할 수 있는 개인 키 보유자만 존재하는 진정한 부인 방지.
• 훈련 불필요 운영: 새로운 코덱이 등장할 때 대규모 말뭉치, 모델 체크포인트, 재학습이 필요 없음.
• 결정론적 행동: 시스템이 매개변수 (NFFT, 빈 선택, RS) 에 기반하여 완전히 분석 가능하므로 C2PA 와 같은 인증된 출처 파이프라인에 적합함.
• 스택 가능성: APC 는 신경 워터마크 뒤에 스택되도록 설계되어, 신경 마크가 코덱 생존을 처리하고 APC 가 암호학적 서명 계층을 제공합니다.

저자들은 APC 가 설계 공간에서 독특한 지점을 차지한다고 결론지으며, 암호학적 보안, 제로 훈련 요구 사항, 그리고 결정론적이고 감사 가능한 출처를 얻는 대가로 최첨단 신경 기준 대비 약 1.2~1.5 PESQ 점을 희생한다고 명시합니다.