Стеганография. История тайнописи

К тому же, потери пакетов в сети тщательно контролируются, а «RSTEG» использует легальный трафик, таким образом увеличивая общие потери. Чтобы убедиться, что общая потеря пакетов в сети нормальна и доля «RSTEG» не слишком высока по сравнению с другими соединениями в той же сети, уровень ретрансляции в целях стеганографии должен контролироваться и динамично адаптироваться.

Метод стеганографии с использованием ретрансляции пакетов «RSTEG» является гибридным. Поэтому его стеганографическая пропускная способность примерно равна пропускной способности методов с модификацией пакета, и при этом выше, чем у методов изменения порядка передачи пакетов. Сложность обнаружения и пропускная способность напрямую связана с используемым механизмом реализации метода.

Метод «RSTEG» на основе «RTO» (англ. Recovery Time Objective — директивное время восстановления) характеризуется высокой сложностью обнаружения и низкой пропускной способностью, а тот же метод на основе «SACK» (англ. Selective acknowledgment — выборочное подтверждение) обладает максимальной для «RSTEG» пропускной способностью, но более легко обнаруживается.

Метод «RSTEG» хорошо подходит для «TCP/IP» и при разумном уровне преднамеренных ретрансляций не должен вызвать подозрений у наблюдателя. Но данный метод весьма сложно реализовать, особенно те его алгоритмы, которые основаны на перехвате и исправлении пакетов обычных пользователей. Из-за резко возросшей частоты ретранслируемых пакетов или возникновения необычных задержек при передаче, стеганограммы могут вызвать подозрения у стороннего наблюдателя.

Метод «LACK» работает с протоколом «VoIP». Связь через «IP»-телефонию состоит из двух частей: сигнальной (служебной) и разговорной. В обеих частях происходит передача информации в обе стороны. Для передачи используется сигнальный протокол «SIP» (англ. Session Initiation Protocol — протокол установления сеанса) и «RTP» (англ. Real-time Transport Protocol — протокол трафика реального времени, собственно — разговора).

Это значит, что в течение сигнальной фазы вызова конечные точки «SIP» (так называемые «пользовательские SIP-агенты») обмениваются некоторыми «SIP»-сообщениями. Обычно «SIP»-сообщения проходят через «SIP»-серверы, что позволяет пользователям искать и находить друг друга. После установления соединения начинается фаза разговора, где аудио-поток «RTP» идёт в обоих направлениях между вызывающим и вызываемым.

И именно здесь эффективен метод «LACK». Пропускная способность его не меньше, а иногда и выше, чем у остальных алгоритмов, использующих аудио-пакеты. Принцип функционирования «LACK» выглядит следующим образом.

Передатчик выбирает один из пакетов голосового потока, и его полезная нагрузка заменяется битами секретного сообщения — стеганограммой, которая встраивается в один из пакетов. Затем выбранный пакет намеренно задерживается. Каждый раз, когда чрезмерно задержанный пакет достигает получателя, незнакомого со стеганографической процедурой, он отбрасывается.

Однако, если получатель знает о скрытой связи (именно ему адресована стеганограмма), то вместо удаления полученных «RTP»-пакетов он извлекает скрытую информацию. При намеренном вызове потерь возникает ухудшение качества связи, что может вызвать подозрение как у обычных пользователей, так и у прослушивающего наблюдателя.

Исходя из представленных результатов стегоанализа метода «LACK», можно заключить, что данный метод обладает средней сложностью обнаружения. Реализация метода слишком сложна, и может быть невозможна в пределах некоторых операционных систем.

Сравним все методы стеганографии по пропускной способности, сложности обнаружения, стоимости и сложности реализации. Например, самой высокой пропускной способностью обладает метод «TranSteg», а самой высокой сложностью обнаружения — «HICCUPS». При этом «HICCUPS» обладает наименьшей сложностью реализации, и находится на третьем месте по пропускной способности, что позволяет рассматривать его как фаворита.

Необходимо также учитывать, что характеристики находятся в самой тесной взаимосвязи. Так, например, сложность обнаружения будет напрямую зависеть от качества реализации, а следовательно — сложности реализации.

«HICCUPS» (англ. HIdden Communication system for Corrupted Networks — стегосистема для поврежденных сетей) — система с распределением полосы пропускания для сетей с разделяемой средой передачи данных. «HICCUPS» использует несовершенства среды передачи — шумы и помехи, которые являются естественными причинами искажения данных.

Сети с разделяемой средой передачи данных, в особенности локальные сети с шинной топологией, используют различные механизмы доступа к среде, например, «CSMA» (англ. Carrier Sense Multiple Access), «CSMA/CD» (англ. CSMA with Collision Detection), «CSMA/CA» (англ. CSMA with Collision Avoidance), «Token Bus».