Týždeň 3 – Steganológia, steganografia a steganalýza

Obsah

Steganológia (z gréckeho steganós – skrytý, logia – veda) je veda o ukrytej komunikácii. Delí sa na steganografiu (ukrývanie správy tak, aby si nikto nevšimol, že vôbec existuje) a stegoanalýzu (odhaľovanie takejto ukrytej komunikácie). Kľúčový rozdiel oproti kryptografii: kryptografia rieši dôvernosť tým, že správu transformuje do nečitateľného formátu (jej existencia je zjavná), zatiaľ čo steganografia sa snaží skryť samotný fakt, že komunikácia prebieha.

Dva typy utajenej komunikácie:

• Steganografia – one-to-one komunikácia medzi konkrétnym odosielateľom a prijímateľom, ktorý pozná stegokľúč a spôsob extrakcie. Cieľom je skryť existenciu správy pred ostatnými.
• Watermarking – one-to-many komunikácia jedného autora s mnohými (často neidentifikovanými) príjemcami obsahu. Cieľom je overiteľnosť vlastníctva, autorských práv či autenticity (podrobnejšie v týždni 4).

Základné prvky steganografického procesu: utajená správa (secret message), krycie médium/nosič (cover media), stegomédium (cover media + utajená správa), komunikačný kanál, steganografický enkodér a dekodér, a stegokľúč (určuje kde a ako sa správa v stegomédiu skryje).

Steganografický proces musí zohľadňovať štyri vlastnosti: nedetegovateľnosť, kapacitu (koľko dát sa dá skryť), robustnosť (odolnosť voči zničeniu manipuláciou) a odolnosť (ochrana pred pozmenením po odhalení).

Krátka história: steganografia je staršia než kryptografia – vojenská komunikácia (Æneas Tacticus), Herodotos (440 pnl.) opisuje steganografické techniky, tetovanie správy na oholenú hlavu v Perzii, správy všité do hodvábu v starovekej Číne, neviditeľný atrament v stredoveku, Johannes Trithemius (1499) prvýkrát použil termín Steganografia, prvá akademická konferencia o steganografii sa konala v roku 1996. Ako ilustráciu jednoduchého kódovania si ukážeme Vernamovu šifru (XOR otvoreného textu s kľúčom rovnakej dĺžky) – princíp, na ktorom stoja aj niektoré jednoduché steganografické kódovacie techniky.

LSB steganografia

LSB (Least Significant Bit) steganografia je najznámejšia a najjednoduchšia technika digitálnej steganografie. Najmenej významný bit hodnoty (napr. farby pixelu) často reprezentuje iba šum – jeho zmenou sa dá vložiť dodatočná informácia bez viditeľného efektu. Výhodou je vysoká kapacita, nevýhodou nízka odolnosť voči kompresii a transformáciám.

Steganografia s využitím sekundárnych úložísk a súborových systémov

Dáta možno ukryť aj mimo bežne viditeľného obsahu súboru:

• Host Protected Area (HPA) – oblasť na disku neprístupná BIOSu, OS ani používateľovi.
• Disk/partition slack – nezahrnuté alebo neadresovateľné sektory na konci partície.
• File slack a RAM slack – nevyužité sektory/bajty na konci posledného klastra súboru.
• MBR/EMBR slack – dáta ukryté v master boot record sú chránené aj pred formátovaním.
• Poradie záznamov v adresároch – permutácia poradia môže niesť informáciu.
• Steganografické súborové systémy (napr. StegFS) – celý súborový systém je ukrytý v krycom médiu, súbor je prístupný len s menom a kľúčom.

Sieťová steganografia

Využíva hlavičky protokolov (IP ID, TCP SEQ/ACK), časovanie paketov, whitespace/padding, DNS/HTTP tunely. Je ťažko detegovateľná klasickou IDS/IPS analýzou a zneužiteľná na C2 (Command and Control) komunikáciu malvéru – napr. botnety, ransomvér, APT kampane.

Steganalýza

Skúma možnosti útoku na stegomédium v dvoch stupňoch: (I) detegovanie, že sa steganografia vôbec používa, (II) získanie podrobnejších informácií (algoritmus, kľúč, dĺžka a umiestnenie správy). Algoritmus sa považuje za nebezpečný, ak je možný už prvý stupeň (pasívna stegoanalýza).

• Pasívny útok – útočník zisťuje informácie o steganografii, ale stegomédium nemení.
• Aktívny útok – útočník stegomédium zámerne pozmení, aby znemožnil prečítanie alebo pozmenil správu.

Klasifikácia metód steganalýzy: štatistická (histogramy, chi-kvadrát), transform domain (anomálie DCT koeficientov pri JPEG), behaviorálna (časové rady paketov pri sieťovej steganografii), forenzná analýza multimédií (metadáta, EXIF, PRNU) a strojové učenie (CNN siete na rozpoznanie mikrovzorcov).

Praktické príklady a demonštrácie

• Ukážka Vernamovej šifry na slove POZOR s kľúčom SIEC (rovnaký príklad ako na cvičení) – prevod na abecedu A=0, B=1, … Z=25 a modulo-26 súčet.
• Rozbor jedného historického príkladu steganografie (napr. tetovanie na hlave) cez prvky steganografického procesu (správa, nosič, kľúč, kanál).
• Ukážka LSB steganografie na konkrétnych hodnotách pixelov 200, 201, 156, 157 – zakódovanie dvoch bitov správy 10 do LSB prvých dvoch hodnôt a diskusia, ako v poslednom bite veľkého obrázka vyzerá „šum“ bežného obrázka oproti steganograficky upravenému.
• Diskusia nad reálnymi príkladmi C2 komunikácie cez steganografiu (Regin, Duqu, Zeus).

Čo si zapamätaj

• Rozdiel medzi steganografiou (one-to-one, utajenie existencie) a watermarkingom (one-to-many, overenie vlastníctva).
• Základné prvky steganografického procesu a štyri vlastnosti, ktoré musí spĺňať (nedetegovateľnosť, kapacita, robustnosť, odolnosť).
• Princíp LSB steganografie a že súborový systém obsahuje viacero miest (slack, HPA, poradie záznamov), kde sa dajú technicky ukryť dáta.
• Rozdiel medzi pasívnym a aktívnym útokom pri steganalýze.