Стеганография по файлове: скриване на данни директно в сектори

Кратък предговор

Стеганографията, ако някой не си спомня, крие информация в някои контейнери. Например в снимки (обсъдени тук и тук). Можете също да скриете данни в сервизните таблици на файловата система (за това беше писано тук), и дори в пакети за обслужване на TCP протокол. За съжаление, всички тези методи имат един недостатък: за да "вмъкнете" незабележимо информация в контейнер, имате нужда от хитри алгоритми, които отчитат особеностите на вътрешната структура на контейнера. И възникват проблеми с устойчивостта на контейнера към манипулация: например, ако леко редактирате картината, скритата информация се губи.

Възможно ли е по някакъв начин да се направи без хитри алгоритми и фини манипулации с данни и все пак да се гарантира функционалността на контейнера и приемливо ниво на сигурност на скритите данни? Гледайки напред, ще кажа - да, можете! Дори ще предложа помощна програма.

Кървави подробности за метода

Основната идея е проста като удар в челото: има области на диска, в които операционната система никога не записва (или пише в редки случаи). За да избегнем необходимостта да търсим тези области с помощта на хитри алгоритми, ние ще използваме излишък - тоест ще дублираме нашата скрита информация много, много пъти във всички сектори на диска. След това, на върха на цялото това великолепие, можете да създадете необходимите дялове, да форматирате файлови системи, да пишете файлове и да инсталирате операционни системи - все пак част от секретните данни ще бъдат запазени и могат да бъдат извлечени, а повторното дублиране ще ни помогне съберете оригиналното цяло от парчетата.

Предимството на този метод е очевидно: ние не зависим от файловия формат или дори от вида на използваната файлова система.

Мисля, че недостатъците също са очевидни:

• Тайните данни могат да бъдат променени само чрез пълно пренаписване на целия диск, последвано от повторно създаване на съдържанието, видимо за потребителя. Не можете обаче да използвате софтуер, който пресъздава диска от изображение: той също ще пресъздаде предишните секретни данни.
• Колкото по-голям е обемът на секретните данни, толкова по-голяма е вероятността да загубите част от информацията.
• Извличането на данни от диска може да отнеме много време. От няколко минути до няколко дни (модерните дискове са големи).

Сега да преминем към конкретика.

Ясно е, че ако просто размажете секретни данни по целия диск, те ще бъдат скрити само от невъоръжено око. Ако оборудвате погледа си с, да речем, дисков редактор, данните ще се появят в целия си блясък. Затова би било добра идея да шифровате данните, така че да не се показват. Ще шифроваме просто, но с вкус: използвайки алгоритъма aes256-cbc. Ще поискаме от потребителя ключа за криптиране и ще го оставим да измисли добра парола.

Следващият въпрос е как можем да различим „добрите“ данни от лошите данни. Тук ще ни помогне контролна сума, но не проста, а SHA1. И какво? Достатъчно добър е за git, така че ще ни подхожда и на нас. Решено: предоставяме на всяка съхранена част от информацията контролна сума и ако след декриптирането тя съвпадне, това означава, че декриптирането е било успешно.

Ще ви е необходим и номерът на фрагмента и общата дължина на секретните данни. Номерът на фрагмента е, за да следим кои парчета вече сме дешифрирали и кои са останали. Общата дължина ще ни бъде полезна при обработката на последния фрагмент, за да не записваме ненужни данни (т.е. подложка). Е, тъй като все още имаме заглавка, ще добавим името на секретния файл там. Ще бъде полезно след декриптиране, за да не гадаете как да го отворите.

Тестване на метода на практика

За да проверим, нека вземем най-често срещания носител - флашка. Намерих един стар с 1 GB капацитет, който е доста подходящ за експерименти. Ако вие като мен сте измислили идеята да не се занимавате с физически носители, а да го тествате върху файл - изображение на диск, тогава ще кажа веднага: няма да работи. Когато форматирате такъв „диск“, Linux създава файла отново и всички неизползвани сектори ще бъдат запълнени с нули.

Като машина с Linux, за съжаление, трябваше да използвам метеорологична станция на лежащия на балкона Raspberry Pi 3. Там няма много памет, така че няма да скрием големи файлове. Ние се ограничаваме до максимален размер от 10 мегабайта. Също така няма смисъл да се крият файлове, които са твърде малки: помощната програма записва данни на диск в клъстери от 4 KB. Затова по-долу ще се ограничим до файл от 3 kb - той се вписва в един такъв клъстер.

Ще се подиграваме на флаш устройството на етапи, като след всеки етап проверяваме дали скритата информация е четлива:

1. Бързо форматиране във формат FAT16 с размер на клъстера 16 KB. Ето какво предлага Windows 7 да направите с флашка, която няма файлова система.
2. Пълнене на флаш устройството с всякакъв боклук с 50%.
3. Пълнене на флаш устройството с всякакъв боклук с 100%.
4. „Дълго“ форматиране във формат FAT16 (презаписва всичко).

Първите два теста, както се очакваше, завършиха с пълна победа: помощната програма успя успешно да извлече 10 мегабайта секретни данни от флаш устройството. Но след като флаш устройството беше пълно с файлове, възникна грешка:

Total clusters read: 250752, decrypted: 158
ERROR: cannot write incomplete secretFile

Както можете да видите, само 158 клъстера бяха успешно дешифрирани (632 килобайта необработени данни, което дава 636424 10 байта полезен товар). Ясно е, че тук няма начин да вземете 1 мегабайта и въпреки това сред тези клъстери има очевидно дубликати. Не можете дори да възстановите 3 мегабайт по този начин. Но можем да гарантираме, че ще възстановим 120 килобайта секретни данни от флашка, дори след като бъде форматирана и записана до краен предел. Експериментите обаче показват, че от такава флашка е напълно възможно да се извлече файл с дължина XNUMX килобайта.

Последният тест, за съжаление, показа, че цялата флашка е презаписана:

$ sudo ./steganodisk -p password /dev/sda
Device size: 250752 clusters
250700 99%
Total clusters read: 250752, decrypted: 0
ERROR: cannot write incomplete secretFile


Нито един клъстер не е оцелял... Тъжно, но не и трагично! Преди да форматирате, нека се опитаме да създадем дял на флаш устройството и вече в него файлова система. Между другото, той идва от фабриката точно с това форматиране, така че не правим нищо подозрително.
Съвсем очаквано наличното място на флашката леко е намаляло.

Също така е съвсем очаквано, че 10 мегабайта не могат да бъдат скрити на напълно пълен диск. Но сега броят на успешно дешифрираните клъстери се е увеличил повече от два пъти!

Total clusters read: 250752, decrypted: 405

За съжаление е невъзможно да се сглоби мегабайт от парчета, но двеста килобайта е лесно.

Е, новината за последната, 4-та проверка, този път е радостна: пълното форматиране на такова флаш устройство не доведе до унищожаване на цялата информация! 120 килобайта секретни данни се вписват перфектно в неизползвано пространство.

Обобщена таблица на теста:

Малко теоретизиране: за свободното пространство и неизползваните сектори

Ако някога сте разделяли вашия твърд диск на дялове, може би сте забелязали, че не винаги е възможно да разпределите цялото свободно пространство на диска. Първият раздел винаги започва с малко отстъп (обикновено 1 мегабайт или 2048 сектора). Зад последния раздел също се случва, че остава малка „опашка“ от неизползвани сектори. И понякога има пропуски между разделите, макар и рядко.

С други думи, на диска има сектори, които не могат да бъдат достъпни при нормална работа с диска, но в тези сектори могат да се записват данни! А това означава и да го прочетете. Коригиран за факта, че има също таблица на дяловете и код за зареждане, които се намират в празната област в началото на диска.

Нека да си починем за малко от разделите и да погледнем диска от птичи поглед, така да се каже. Тук имаме празен дял на диска. Нека създадем файлова система в него. Можем ли да кажем, че някои сектори на диска остават неизтрити?

Е-е-е - дрънкане! Отговорът почти винаги ще бъде да! Всъщност в повечето случаи създаването на файлова система се свежда до записване само на няколко блока служебна информация на диска, а в противен случай съдържанието на дяла не се променя.

И също така - чисто емпирично - можем да приемем, че файловата система не винаги може да заема цялото пространство, което й е отредено до последния сектор. Например файлова система FAT16 с размер на клъстера от 64 килобайта очевидно не може напълно да заеме дял с размер, който не е кратен на 64 килобайта. В края на такъв раздел ще трябва да има „опашка“ от няколко сектора, недостъпни за съхраняване на потребителски данни. Това предположение обаче не може да бъде потвърдено експериментално.

Така че, за да увеличите максимално наличното пространство за стеганограмата, трябва да използвате файлова система с по-голям размер на клъстера. Можете също така да създадете дял, дори ако това не е необходимо (на флаш устройство, например). Няма нужда да създавате празни секции или да оставяте неразпределени площи - това ще привлече вниманието на заинтересованите граждани.

Помощна програма за експерименти

Можете да докоснете изходния код на помощната програма тук

За изграждане ще ви трябва Qt версия 5.0 или по-нова и OpenSSL. Ако нещо не работи, може да се наложи да редактирате файла steganodisk.pro.

Можете да промените размера на клъстера от 4 KB до, да речем, 512 байта (в secretfile.h). В същото време цената на служебната информация ще се увеличи: заглавката и контролната сума заемат фиксирани 68 байта.

Трябва да стартирате помощната програма, разбира се, с права на root потребител и с повишено внимание. Няма да има задавани въпроси преди презаписване на посочения файл или устройство!

Насладете.

Източник: www.habr.com