Стеганография. История тайнописи

Общей чертой всех методов сетевой стеганографии является создание с их помощью скрытых каналов передачи информации в любом открытом канале, в котором есть некая избыточность. Методы сетевой стеганографии можно разделить на три группы:

1. Методы модификации пакетов:

‒ методы, изменяющие данные в полях заголовков сетевых протоколов;

‒ методы, изменяющие данные в полях полезной нагрузки пакетов — это всевозможные алгоритмы водяных знаков, речевых кодеков и прочих стеганографических техник по сокрытию данных;

‒ методы, объединяющие два предыдущих класса.

2. Методы стеганографии, изменяющие структуру и параметры передачи пакетов:

‒ методы, в которых изменяется порядок следования пакетов;

‒ методы, изменяющие задержку между пакетами;

‒ методы, вводящие преднамеренные потери пакетов путём пропуска порядковых номеров у отправителя;

3. Смешанные (гибридные) методы стеганографии, изменяющие и содержимое пакетов, и сроки доставки пакетов, и порядок их передачи. При этом используются два подхода: преднамеренные задержки аудио пакетов «LACK» (англ. Lost Audio Packets) и ретрансляция пакетов «RSTEG» (англ. Retransmission Steganography).

Метод модификации сетевых пакетов «TranSteg» (англ. Transcoding Steganography), изменяющий полезную нагрузку «VoIP»-пакета, пользуется успехом за счёт популярности программ, обеспечивающих голосовую и видеосвязь через Интернет.

Как следует из названия, метод заключается в сжатии полезной нагрузки сетевого пакета за счёт перекодирования, и может применяться везде, где существует возможность сжатия открытых данных. Само сжатие требуется для ограничения размера передаваемых данных, поскольку скрытый канал связи имеет ограниченную пропускную способность.

«TranSteg» также проводит пересжатие исходных данных с потерями, чтобы освободить место под стеганограмму. Голосовые данные высокого битрейта (занимающие больше места в полезной нагрузке пакета) перекодируются в низкий битрейт, по возможности, с минимальными потерями качества, а на освободившееся место вносятся данные стеганограммы.

Метод позволяет получить неплохую стеганографическую пропускную способность в 32 кб/с при наименьшей разнице в битрейте голосового потока. Учёные Варшавского технологического университета и института телекоммуникаций провели ряд экспериментов, которые показали, что задержка в передаче «VoIP» пакета с использованием «TranSteg» возрастает на 1 миллисекунду в отличие от пакета без стеганограммы.

Сложность обнаружения напрямую зависит, например, от места расположения наблюдателя, в котором он может просматривать «VoIP»-трафик. К недостаткам данного метода стоит отнести сложность его реализации: нужно выяснить, какие кодеки используются для формирования голосового потока, и подобрать кодеки с наименьшей разницей потери качества речи, которое неизбежно будет снижаться.

В качестве примера второго класса методов рассмотрим использование механизмов «SCTP» (англ. Stream control transport protocol — транспортный протокол с контролем пакетов). Этот протокол реализуется в таких операционных системах как «BSD», «Linux», «HP-UX» и «SunSolaris», а также поддерживает сетевые устройства операционной системы «CiscoIOS» и может быть использован в «Windows». «SCTP»-стеганография использует характерные особенности данного протокола, такие как мультипоточность и использование множественных интерфейсов (англ. multi-homing).

Методы изменения содержимого «SCTP»-пакетов основаны на том, что каждая часть «STCP»-пакета может иметь переменные параметры. Обнаружение данного метода строится на основе статистический анализ адресов сетевых карт, используемых для пересылки пакетов, с целью выявления скрытых связей. Бороться же с организацией скрытого канала передачи, основанном на этом принципе, можно изменяя адреса отправителя и получателя в случайно выбранном пакете, который содержится в повторно высылаемом блоке.

Метод «RSTEG» основан на механизме повторной посылки пакетов. Отправитель посылает пакет, но получатель не отвечает пакетом с флагом подтверждения. Срабатывает механизм повторной посылки пакетов, и теперь посылается пакет со стеганограммой внутри, на который также не приходит подтверждения. При следующем срабатывании данного механизма посылается оригинальный пакет без скрытых вложений, на который приходит пакет с подтверждением об удачном получении.

Ни один из реальных методов стеганографии не является совершенным. Независимо от метода, скрытая информация может быть обнаружена: чем больше скрытой информации внесено в поток данных, тем больше шансов, что она будет обнаружена методами стегоанализа. Более того, чем больше пакетов используется для посылки скрытых данных, тем сильнее возрастает частота ретранслированных пакетов, что существенно облегчает обнаружение скрытого канала связи.