Что такое стеганография

Стеганография — это способ скрыть само существование сообщения, спрятав его внутри данных, которые выглядят обычными. Слово происходит от греческих стеганос («покрытый») и графеин («писать»), то есть означает «письмо под покровом».

Секрет можно спрятать внутри изображения, аудиофайла, документа или сетевого трафика. Для любого наблюдателя носитель выглядит совершенно нормально: обычная фотография с отдыха, песня или PDF.

Для специалистов по безопасности стеганография важна по двум причинам: защитники должны понимать, как злоумышленники используют её для тайного вывода данных, а аналитики — знать, как её обнаруживать.

Эти два подхода часто путают, но они решают разные задачи:

• Криптография скрывает смысл сообщения. Наблюдатель видит, что секрет существует, но не может его прочитать.
• Стеганография скрывает сам факт существования сообщения. Наблюдатель даже не знает, что внутри есть секрет.

Криптография защищает содержимое, а стеганография — сам факт общения. Зашифрованный файл привлекает внимание: очевидно, что в нём что-то есть. Стеганографическое сообщение прячется в файле, который никто не подозревает проверять.

Самый надёжный подход объединяет оба метода. Сначала зашифруйте, затем спрячьте:

• Шифрование гарантирует, что даже обнаруженные скрытые данные нельзя будет прочитать.
• Стеганография делает маловероятным само обнаружение зашифрованного блока.

Шифрование перед сокрытием также помогает самой стеганографии: шифротекст обладает высокой энтропией и статистически случаен, поэтому он может естественнее сливаться с шумом медиаданных, чем структурированный открытый текст. Такая многоуровневая защита называется эшелонированной защитой.

В стеганографии используется точная терминология, которую стоит изучить:

• Полезная нагрузка — секретные данные, которые нужно спрятать.
• Контейнер (или носитель) — обычный файл, используемый для сокрытия данных.
• Стегообъект — результат: контейнер со встроенной полезной нагрузкой.
• Стегоключ — необязательный секрет, определяющий, где или каким образом встраивается полезная нагрузка.
• Встраивание — действие по помещению полезной нагрузки внутрь контейнера.
• Извлечение — восстановление полезной нагрузки из стегообъекта.

Итак, встраивание полезной нагрузки в контейнер, при необходимости с использованием стегоключа, создаёт стегообъект.

Практически любой файл с избыточностью или шумом может служить контейнером. К распространённым носителям относятся:

• Изображения — самый популярный вариант; небольшие изменения цвета незаметны глазу.
• Аудио — небольшие изменения амплитуды неразличимы на слух.
• Видео — огромная ёмкость за счёт множества кадров.
• Текст и документы — пробелы, форматирование или символы нулевой ширины.
• Сетевой трафик — неиспользуемые поля заголовков или время отправки пакетов, то есть скрытые каналы.
• Файловые системы — свободное пространство или скрытые тома.

Лучшие контейнеры большие и естественным образом зашумлённые, поэтому встроенные данные скрываются среди уже существующих вариаций.

Каждый метод стеганографии балансирует между тремя конкурирующими целями — стеганографическим треугольником:

• Ёмкость — объём данных, которые можно спрятать.
• Незаметность — степень неуловимости внесённых изменений.
• Устойчивость — способность полезной нагрузки пережить изменения, например сжатие или изменение размера.

Улучшение одной характеристики обычно ослабляет другую. Сокрытие большего объёма данных повышает заметность статистических изменений и снижает незаметность. Устойчивые методы, сохраняющие данные после сжатия, часто встраивают их более заметным образом. Правильный баланс зависит от цели: скрытый вывод данных требует незаметности, а нанесение водяных знаков — устойчивости.

Самый грубый метод добавляет полезную нагрузку после конца корректного файла. Многие форматы, например JPEG, содержат маркер конца файла, поэтому программы просмотра игнорируют всё после него, а изображение по-прежнему отображается нормально.

Обнаружить это очень просто: файл больше, чем должен быть, и содержит данные за своим логическим концом.

Такой способ легко реализовать и легко обнаружить. Это не настоящая незаметность, но он наглядно показывает принцип сокрытия данных, которые программа просмотра игнорирует.

Самый известный настоящий метод стеганографии — замена LSB (наименее значащего бита). В изображении каждый цветовой канал пикселя представляет собой число от 0 до 255. Изменение младшего бита сдвигает значение максимум на 1 — это незаметно человеческому глазу.

Перезаписывая LSB множества пикселей, можно кодировать скрытое сообщение по одному биту. Таким способом изображение RGB размером в один мегапиксель может скрыть примерно 375 KB.

В следующем уроке мы подробнее разберём LSB; пока усвойте основной принцип: прячьте данные в тех частях файла, которые слишком незаметны для человека.

Стеганография сама по себе не является вредоносной: у неё есть множество законных применений:

• Цифровая маркировка встраивание сведений о владельце в медиафайлы для подтверждения авторских прав или отслеживания утечек.
• Обнаружение изменений хрупкая водяная метка, которая разрушается при изменении файла.
• Встраивание метаданных передача данных об аутентичности или происхождении.
• Конфиденциальность защита коммуникации в случаях, когда сам факт шифрования может быть опасен.

Для цифровой маркировки особенно важна устойчивость: метка должна переживать сжатие и редактирование — это противоположно приоритету скрытного встраивания.

Злоумышленники также используют стеганографию, поэтому защитники должны учитывать такую возможность:

• Кража данных тайный вынос украденных данных внутри изображений, проходящих через фильтры.
• Управление и связь вредоносного ПО скрытие инструкций в изображениях, размещённых на общедоступных сайтах (стеговредоносное ПО).
• Доставка полезной нагрузки сокрытие вредоносного кода внутри безобидно выглядящих файлов.
• Обход DLP обход систем предотвращения утечек данных, которые сканируют очевидные секреты.

Поскольку стеганография скрывает сам факт существования данных, средства на основе сигнатур часто её не обнаруживают. Для обнаружения требуется стегоанализ, который рассматривается далее в этом курсе.

Распространённая ошибка — полагаться на секретность метода, то есть на безопасность за счёт сокрытия устройства системы. Согласно принципу Керкгоффса, система должна оставаться безопасной, даже если злоумышленнику известен используемый метод.

Для стеганографии это означает следующее:

• Не считайте алгоритм встраивания секретным: аналитикам известны распространённые методы.
• Настоящая безопасность обеспечивается стегоключом (управляющим размещением) и шифрованием полезной нагрузки.
• Метод может быть общедоступным; секретными должны оставаться только ключи.

Стеганография скрывает сам факт существования данных, но не заменяет шифрование: сочетайте оба метода.

Проверьте, насколько хорошо Вы поняли основное различие.

Вы изучили основы скрытия данных на виду.

• Стеганография скрывает существование сообщения, а криптография скрывает его смысл; сочетайте их для многоуровневой защиты.
• Ключевые термины: полезная нагрузка, контейнер, стегообъект, стегоключ, встраивание и извлечение.
• Контейнерами могут быть изображения, аудио-, видеофайлы, текст, сетевой трафик или файловые системы; большие файлы с высоким уровнем шума лучше всего скрывают данные.
• Каждый метод представляет собой компромисс между ёмкостью, незаметностью и устойчивостью.
• Классический корректный метод — это замена LSB; более грубые методы добавляют данные после конца файла.
• Применения варьируются от законной цифровой маркировки до вредоносной кражи данных и стеговредоносного ПО; полагайтесь на стегоключи и шифрование, а не на сокрытие устройства метода.

Далее Вы на практике будете встраивать данные в изображения и аудиофайлы.