Audio- und Dokumenten-Steganografie

WAV-Audiodateien speichern unkomprimierte 16-Bit- oder 24-Bit-PCM-Audiosamples. Wie bei der LSB-Steganografie von Bildern kann das niederwertigste Bit jedes Audiosamples durch ein verborgenes Bit ersetzt werden. Die Änderung verändert jedes Sample um höchstens 1 Amplitudeneinheit von 32768, was 0,003 Prozent des vollen Aussteuerungsbereichs entspricht und unter normalen Bedingungen für menschliche Zuhörer vollständig unhörbar ist.

Die Phasenkodierung unterteilt ein Audiosignal in kurze Segmente und kodiert verborgene Bits, indem sie die Phase jedes Segments verschiebt. Phasendifferenzen zwischen benachbarten Segmenten bleiben erhalten, um hörbare Artefakte zu vermeiden. Da das menschliche Ohr relativ unempfindlich gegenüber absoluten Phasenwerten ist, transportieren kleine Phasenänderungen verborgene Daten, ohne den Klang wahrnehmbar zu verändern. Bei gleicher Nutzdatenrate ist die Phasenkodierung weniger wahrnehmbar als LSB.

Echo-Verbergen bettet Daten ein, indem dem ursprünglichen Audiosignal schwache Echos hinzugefügt werden. Eine binäre 1 wird durch ein Echo mit einer Verzögerung von d1 Millisekunden dargestellt; eine binäre 0 durch ein Echo mit der Verzögerung d0. Die Verzögerungen werden so gewählt, dass sie unterhalb der Wahrnehmungsschwelle für Echos beim menschlichen Hören liegen (typischerweise unter 1 Millisekunde). Der Empfänger extrahiert Bits, indem er erkennt, welche Echoverzögerung in jedem Segment vorhanden ist.

Spread-Spectrum-Techniken verteilen die Energie des verborgenen Signals über einen breiten Frequenzbereich, ähnlich wie bei Spread-Spectrum-Funk. Jedes verborgene Bit moduliert eine Pseudozufallssequenz, die bei sehr geringer Amplitude über alle Frequenzen hinweg zum Audiosignal addiert wird. Das Ergebnis ähnelt Hintergrundrauschen und lässt sich ohne Kenntnis des Pseudozufallsschlüssels nur schwer vom Audiosignal trennen. Dadurch werden sowohl Unauffälligkeit als auch Widerstandsfähigkeit gegen Erkennung erreicht.

PDF-Dokumente bieten mehrere Stellen, an denen Daten verborgen werden können, ohne den sichtbaren Inhalt zu beeinflussen. Leerraum zwischen Wörtern kann mithilfe verschiedener Unicode-Leerzeichen codiert werden. PDF-Objektstreams können in Kommentarfeldern beliebige Daten enthalten. Metadatenfelder wie Author, Keywords und Creator werden von Lesern nur selten überprüft. Die PDF-Struktur erlaubt Nullobjekte und ungenutzte Einträge in der Querverweistabelle, die verborgene Bytes aufnehmen können.

Microsoft Word-Dokumente im DOCX-Format sind ZIP-Archive, die XML-Dateien enthalten. Verborgene Daten können in der XML-Datei mit den Dokumenteigenschaften, in benutzerdefinierten XML-Teilen oder als unsichtbarer Text eingebettet werden, der in weißer Schrift auf weißem Hintergrund formatiert ist. Die Funktion zum Nachverfolgen von Änderungen und der Revisionsverlauf können ausgenutzt werden, um Daten in den Revisionsmetadaten zu verbergen. Diese Techniken werden häufig von Malware verwendet, die Daten als Office-Dokumente getarnt exfiltriert.

Netzwerk-Steganografie verbirgt Daten in normalem Netzwerkverkehr. TCP-Sequenznummernfelder können verborgene Bits codieren, ohne die Konnektivität zu beeinträchtigen. IP-Headerfelder wie Identifikationsnummern und Time-to-Live-Werte können verborgene Daten transportieren. Die Zeitabstände zwischen Paketen können durch gezielte Verzögerungen Informationen codieren. Diese verdeckten Kanäle umgehen Firewalls und Inhaltsfilter, die nur den Nutzdateninhalt, nicht aber Protokollfeldwerte prüfen.

Zero-Width-Zeichen sind Unicode-Codepoints, die kein sichtbares Glyph besitzen, aber Positionen in Textzeichenfolgen einnehmen. Durch das Einfügen von Zero-Width Space (U+200B), Zero-Width Non-Joiner (U+200C) und Zero-Width Joiner (U+200D) zwischen sichtbaren Zeichen lassen sich Binärdaten in Text codieren, der bei der Anzeige völlig normal aussieht. Ein Tweet oder eine E-Mail mit verborgenen Zero-Width-Zeichen kann unsichtbar Hunderte Bytes verdeckter Daten transportieren.

Schriftartsubstitutions-Steganografie codiert Daten, indem sie die Formen von Zeichen mithilfe zweier nahezu identischer Schriftvarianten geringfügig verändert. Zeichen in Schriftart A stehen für binär 0, Zeichen in Schriftart B für binär 1. Für Leser sieht das Dokument völlig normal aus. Um die verborgene Nachricht wiederherzustellen, muss bekannt sein, welche Zeichen verglichen werden und welche Schriftvarianten welchen Bitwert darstellen.

Viele Farblaserdrucker betten winzige gelbe Punkte ein, die für das bloße Auge unsichtbar sind und die Seriennummer des Druckers sowie Druckdatum und -uhrzeit codieren. Diese Geräteidentifikationscodes wurden auf Ersuchen von Regierungen entwickelt, um die Herkunft gedruckter Dokumente zurückzuverfolgen. Die EFF hat diese Muster 2005 durch Reverse Engineering rekonstruiert. Dies ist eine Form der steganografischen Wasserzeichentechnik, die von Herstellern auf alle Ausdrucke aufgebracht wird.

Malware-Autoren verwenden Steganografie, um Befehle für die Command-and-Control-Kommunikation in harmlos aussehenden Bildern zu verbergen, die auf Social-Media-Plattformen veröffentlicht werden. Das infizierte Gerät lädt ein scheinbar normales Bild herunter, extrahiert die eingebetteten Befehle aus den LSBs und führt sie aus. Diese Technik umgeht Sicherheitswerkzeuge, die nur URLs und Payload-Typen prüfen, nicht aber den Inhalt von Bilddateien.

Welche Audio-Steganografie-Technik codiert verborgene Bits, indem sie 0 und 1 durch Echos mit unterschiedlichen Zeitverzögerungen darstellt?

WAV-Dateien unterstützen die LSB-Audio-Steganografie. Phasenkodierung, Echo-Verbergen und Spread Spectrum sorgen für eine bessere Unauffälligkeit. PDF- und Word-Dokumente bieten viele Stellen für verborgene Daten, darunter Metadaten, Leerraum und den Revisionsverlauf. Netzwerk-Steganografie nutzt Protokoll-Headerfelder und Zeitabläufe. Zero-Width-Zeichen verbergen Daten in Klartext. Gelbe Druckerpunkte sind von Herstellern vorgeschriebene steganografische Wasserzeichen.