Стеганография аудио и документов

Аудиофайлы WAV хранят несжатые 16-битные или 24-битные аудиоотсчёты PCM. Как и при стеганографии LSB в изображениях, мы можем заменить наименее значащий бит каждого аудиоотсчёта скрытым битом. Изменение сдвигает каждый отсчёт не более чем на 1 единицу амплитуды из 32768, то есть на 0,003 процента полного диапазона, и в нормальных условиях совершенно неслышимо для человека.

Фазовое кодирование делит аудиосигнал на короткие сегменты и кодирует скрытые биты, сдвигая фазу каждого сегмента. Разности фаз между соседними сегментами сохраняются, чтобы избежать слышимых искажений. Поскольку человеческое ухо относительно нечувствительно к абсолютным значениям фазы, небольшие изменения фазы позволяют передавать скрытые данные без заметного изменения звука. При одинаковой скорости передачи полезной нагрузки фазовое кодирование обеспечивает большую незаметность, чем LSB.

Скрытие в эхо встраивает данные, добавляя к исходному аудиосигналу слабые эхо-сигналы. Двоичная единица представляется эхом с задержкой d1 миллисекунд, а двоичный ноль — эхом с задержкой d0. Задержки выбираются ниже порога слышимости эха для человека, обычно менее 1 миллисекунды. Получатель извлекает биты, определяя, какая задержка эха присутствует в каждом сегменте.

Методы расширения спектра распределяют энергию скрытого сигнала по широкому диапазону частот, подобно работе радиосвязи с расширением спектра. Каждый скрытый бит модулирует псевдослучайную последовательность, которая добавляется к аудиосигналу с очень низкой амплитудой на всех частотах. Результат напоминает фоновый шум, и его трудно отделить от аудиосигнала без знания псевдослучайного ключа, что обеспечивает и незаметность, и устойчивость к обнаружению.

Документы PDF содержат несколько мест, где можно скрывать данные, не меняя видимое содержимое. Пробелы между словами можно кодировать с помощью разных символов пробела Unicode. Потоки объектов PDF могут содержать произвольные данные в полях комментариев. Поля метаданных, такие как «Автор», «Ключевые слова» и «Создатель», редко проверяются средствами чтения документов. Структура PDF допускает пустые объекты и неиспользуемые записи таблицы перекрёстных ссылок, которые могут содержать скрытые байты.

Документы Microsoft Word в формате DOCX представляют собой архивы ZIP, содержащие XML-файлы. Скрытые данные можно встроить в XML-файл свойств документа, пользовательские части XML или невидимый текст, оформленный белым шрифтом на белом фоне. Отслеживание изменений и история редакций могут использоваться для скрытия данных в метаданных редакций. Эти методы часто применяются во вредоносных программах, которые похищают данные, маскируясь под офисные документы.

Сетевая стеганография скрывает данные внутри обычного сетевого трафика. Поля порядковых номеров TCP могут кодировать скрытые биты, не нарушая соединение. Поля заголовка IP, такие как идентификационные номера и значения времени жизни, могут переносить скрытые данные. Время между пакетами позволяет кодировать информацию с помощью намеренных задержек. Эти скрытые каналы обходят межсетевые экраны и фильтры содержимого, которые проверяют только содержимое полезной нагрузки, но не значения полей протокола.

Символы нулевой ширины — это кодовые точки Unicode, у которых нет видимого начертания, но которые занимают позиции в строках текста. Если вставлять между видимыми символами пробел нулевой ширины (U+200B), несоединитель нулевой ширины (U+200C) и соединитель нулевой ширины (U+200D), в тексте можно закодировать двоичные данные, хотя при отображении он выглядит совершенно обычным. Сообщение в Twitter или электронное письмо со скрытыми символами нулевой ширины может незаметно содержать сотни байт скрытых данных.

Стеганография с подменой шрифтов кодирует данные, слегка изменяя начертания символов с помощью двух почти одинаковых вариантов шрифта. Символы шрифта A представляют двоичный ноль, а символы шрифта B — двоичную единицу. Для читателя документ выглядит совершенно обычным. Чтобы восстановить скрытое сообщение, необходимо знать, какие символы сравнивать и какие варианты шрифта соответствуют каждому значению бита.

Многие цветные лазерные принтеры встраивают крошечные жёлтые точки, невидимые невооружённым глазом, которые кодируют серийный номер принтера, дату и время печати. Эти коды идентификации устройства были разработаны по запросу правительства для отслеживания происхождения напечатанных документов. EFF реконструировала такие шаблоны в 2005 году. Это разновидность стеганографической маркировки, которую производители наносят на все распечатки.

Авторы вредоносных программ используют стеганографию, чтобы скрывать инструкции управления внутри безобидных на вид изображений, опубликованных в социальных сетях. Заражённое устройство загружает обычную на вид картинку, извлекает встроенные инструкции из битов LSB и выполняет их. Этот метод обходит средства безопасности, которые проверяют только URL-адреса и типы полезной нагрузки, но не содержимое файлов изображений.

Файлы WAV поддерживают аудиостеганографию LSB. Фазовое кодирование, скрытие в эхо и расширение спектра обеспечивают большую незаметность. Документы PDF и Word содержат множество мест для скрытия данных, включая метаданные, пробелы и историю редакций. Сетевая стеганография использует поля заголовков протоколов и временные интервалы. Символы нулевой ширины скрывают данные в обычном тексте. Жёлтые точки на принтерах — обязательные стеганографические водяные знаки, которые наносят производители.