Steganografia in immagini e audio

Per nascondere dati in un'immagine, deve prima sapere come le immagini memorizzano i colori. Un pixel in un'immagine RGB ha tre canali: rosso, verde e blu; ciascuno è in genere un numero di 8 bit compreso tra 0 e 255.

Un pixel occupa quindi tre byte. Una piccola immagine da 800x600 ha 480.000 pixel e 1,44 milioni di byte di colore. È proprio questa ridondanza che la steganografia sfrutta: ci sono molti più byte di quanti l'occhio possa esaminare attentamente.

Il punto chiave è che il sistema visivo umano non riesce a distinguere un valore di colore pari a 200 da uno pari a 201. È in questo margine impercettibile che risiedono i dati nascosti.

L'inserimento LSB sostituisce il bit meno significativo di ogni byte di colore con un bit del contenuto segreto. Poiché il bit meno significativo modifica il valore di una sola unità, il cambiamento visivo è impercettibile.

Consideri il caso in cui si nasconda il bit 1 in un valore del canale rosso pari a 200 (binario 11001000). Sostituendo l'ultimo bit con 1 si ottiene 11001001 = 201, una variazione che nessun essere umano può vedere.

Su migliaia di pixel, il payload viene ricostruito leggendo quegli LSB in ordine.

Un messaggio è una sequenza di byte, ciascuno di 8 bit. Per nascondere la parola con un'intestazione che ne indichi la lunghezza, si appiattisce il payload in un flusso di bit e si scrive un bit per ogni canale di colore.

Un sistema di inserimento pratico memorizza anche un prefisso di lunghezza o una sequenza terminatrice univoca, così l'estrattore sa quando smettere di leggere; altrimenti non può distinguere il payload dal rumore del cover.

È esattamente ciò che automatizzano strumenti come steghide, zsteg e stegano, spesso aggiungendo una password e un livello di crittografia.

Il formato è fondamentale a causa della compressione:

• Formati senza perdita (PNG, BMP): preservano ogni pixel esattamente. I dati LSB sopravvivono perfettamente: sono contenitori ideali.
• Formati con perdita (JPEG): durante la compressione eliminano i dettagli più fini, distruggendo i dati LSB ingenui.

Con JPEG, l'inserimento deve avvenire nei coefficienti DCT, i valori nel dominio della frequenza usati durante la compressione, non nei pixel grezzi. Strumenti come steghide e i classici JSteg/OutGuess operano in quel dominio, così il payload sopravvive alla fase di compressione.

Il semplice inserimento LSB nei pixel è fragile. Qualsiasi operazione che modifichi i valori dei pixel distrugge i bit nascosti:

• Salvataggio nuovamente in formato JPEG: la compressione con perdita riscrive i byte.
• Ridimensionamento o ritaglio: il ricampionamento modifica ogni valore.
• Regolazioni del colore: variazioni di luminosità e contrasto.
• Caricamento sui social media: le piattaforme ricodificano automaticamente le immagini.

Questo riguarda il vertice della robustezza del triangolo. Se un payload deve sopravvivere alle modifiche, ad esempio nel caso di una filigrana, lo si inserisce nel dominio della frequenza (DCT/DWT), accettando una capacità inferiore in cambio.

Il semplice inserimento LSB scrive nei pixel in sequenza, dall'angolo in alto a sinistra, creando una firma statistica rilevabile. Metodi più furtivi distribuiscono il payload per eludere l'analisi:

• Posizionamento pseudo-casuale: una stego-key inizializza un PRNG che sceglie quali pixel contengono i bit, così il modello appare casuale.
• Regioni rumorose: inserire i dati in aree dalla trama irregolare, come erba e capelli, dove esiste già variabilità, invece che in cieli uniformi.
• Inserimento adattivo: gli algoritmi moderni minimizzano una funzione di costo della rilevabilità.

La stego-key funge anche da password: senza di essa, un analista non può ricostruire l'ordine dei bit, anche se sospetta che vi sia un messaggio nascosto.

L'audio funziona secondo lo stesso principio delle immagini, ma nel dominio temporale o della frequenza. Un file WAV memorizza campioni, in genere numeri a 16 bit che rappresentano l'ampiezza, migliaia di volte al secondo.

L'inserimento LSB nell'audio sovrascrive il bit meno significativo di ogni campione. Una variazione di un'unità in un'ampiezza a 16 bit è molto al di sotto della soglia uditiva umana, quindi l'audio risulta identico.

Con 44.100 campioni al secondo per canale, l'audio offre una capacità elevata, sebbene i formati con perdita come MP3 distruggano gli LSB dei campioni grezzi proprio come JPEG distrugge gli LSB dei pixel.

Oltre all'LSB, la steganografia audio usa accorgimenti percettivi basati sul funzionamento dell'udito:

• Codifica di fase: modifica la fase dei componenti audio; l'orecchio è insensibile alla fase assoluta.
• Nascondimento tramite eco: introduce echi minimi e impercettibili il cui ritardo codifica i bit.
• Spettro espanso: distribuisce il payload su un'ampia banda di frequenze sotto forma di rumore di basso livello, robusto alle modifiche.
• Inserimento di toni: nasconde i dati usando toni mascherati da suoni vicini più intensi (mascheramento psicoacustico).

Queste tecniche sacrificano capacità per ottenere robustezza e furtività, in modo simile ai metodi d'immagine nel dominio della frequenza.

Un'idea unificante tra i diversi tipi di contenuto multimediale è la scelta del dominio:

• Dominio spaziale/temporale: inserisce direttamente nei pixel o nei campioni. È semplice e offre una capacità elevata, ma è fragile contro la compressione.
• Dominio della frequenza: trasforma il segnale (DCT per JPEG, DWT per le wavelet, FFT per l'audio), inserisce nei coefficienti e poi ritrasforma il segnale. È più robusto e furtivo, ma offre una capacità inferiore ed è più complesso.

La regola è la seguente: se il cover verrà compresso, ridimensionato o condiviso, inserisca i dati nel dominio della frequenza. Per i cover senza perdita e intatti, l'LSB nel dominio spaziale è sufficiente.

Prima dell'inserimento, stimi quanti dati può nascondere in sicurezza. Un'indicazione utile è il tasso di inserimento, cioè i bit nascosti per ogni bit del cover.

• 1 bit per canale (LSB completo): capacità massima, ma massima rilevabilità.
• Tassi frazionari: usare solo una frazione dei pixel riduce la capacità, ma migliora notevolmente l'impercettibilità.

Un'immagine RGB da 1920x1080 contiene circa 6,2 milioni di byte di colore, ovvero circa 777 KB con LSB completo. Tuttavia, un inserimento attento alla sicurezza usa solo una frazione di tale capacità, perché riempire ogni LSB produce anomalie statistiche che gli strumenti di steganalisi rilevano facilmente.

Dal punto di vista del difensore, capire come avviene l'inserimento indica cosa monitorare:

• Incoerenze di formato: un PNG/BMP dove ci si aspetterebbe un JPEG può indicare un cover senza perdita scelto per l'LSB.
• Anomalie nelle dimensioni: un file più grande di quanto giustifichi il contenuto visibile merita attenzione.
• Ricodifica come difesa: le piattaforme che ricomprimono tutti i caricamenti distruggono i payload LSB ingenui; è una contromisura semplice ed economica.
• Analisi statistica: l'inserimento LSB completo appiattisce la distribuzione naturale dei valori dei bit, rendendola rilevabile tramite steganalisi.

Queste firme sono il ponte verso la lezione successiva: il rilevamento dei dati nascosti.

Ha appreso come i dati vengano effettivamente inseriti nei file multimediali.

• L'inserimento LSB sovrascrive il bit meno significativo di ogni campione di colore o audio, con una variazione impercettibile di un'unità.
• Un prefisso di lunghezza o un terminatore indica dove finisce il payload; strumenti come steghide e stegano automatizzano il processo, con crittografia opzionale.
• I formati senza perdita (PNG, BMP, WAV) preservano i dati LSB; i formati con perdita (JPEG, MP3) richiedono l'inserimento nel dominio della frequenza (DCT/eco/spettro espanso).
• La furtività migliora grazie al posizionamento pseudo-casuale, all'inserimento nelle regioni rumorose e agli algoritmi adattivi basati su una stego-key.
• La scelta tra dominio spaziale e dominio della frequenza bilancia capacità e robustezza.
• I difensori cercano incoerenze di formato, anomalie nelle dimensioni e firme statistiche, e usano la ricodifica per distruggere i payload ingenui.

Nel prossimo capitolo si imparerà a rilevare i dati nascosti tramite la steganalisi.