Steganograafia failide kõrvalt: peidame andmeid otse sektoritesse

Lühike sissejuhatus

Steganograafia, kui keegi ei mäleta, on teabe peitmine mingitesse konteineritesse. Näiteks piltidesse (kuidas arutati siin ja siin). Teavet saab peita ka failisüsteemi teenindustabelitesse (sellest on kirjutatud siin), ja isegi TCP protokolli teeninduspakettidesse. Kahjuks kõigil neil meetoditel on üks puudus: et teavet konteinerisse "salaja" sisestada, on vajalikud nutikad algoritmid, mis arvestavad konteineri sisemise struktuuri omadustega. Ja konteineri vastupidavus manipuleerimisele tekitab probleeme: näiteks, kui veidi pilti redigeerida, kaob peidetud teave.

Kas on võimalik kuidagi hakkama saada ilma keeruliste algoritmide ja õrnade andmemanipulatsioonideta, tagades samas konteineri toimivuse ja vastuvõetava taseme peidetud andmete säilimise? Kiirelt öeldes — jah, on võimalik! Ja isegi kasulikku tööriista pakun.

Meetodi veretuksed

Põhimõte on lihtne nagu puuhaluga pähe sõitmine: ketasel on piirkonnad, kuhu operatsioonisüsteem kunagi ei kirjuta (või kirjutab harvadel juhtudel). Selleks, et neid piirkondi keeruliste algoritmidega ei otsida, kasutame üleliigsust — st dubleerime meie peidetud teavet korduvalt kõigis kettasektorites. Seejärel saab kogu sellele hiilgusele üle luua vajalikud osad, vormindada failisüsteemid, kirjutada faile ja installida OS-e — osa salajastest andmetest jääb ikkagi alles ning seda saab hiljem välja võtta, samas kui korduv dubleerimine aitab meil kokku panna tükid originaalist.

Selle meetodi eelis on ilmne: me ei sõltu ei failivormingust ega isegi kasutatavast failisüsteemi tüübist.

Puudused on samuti ilmsed:

• Salajasi andmeid saab muuta ainult kogu ketta täieliku ülekirjutamise teel koos nähtava kasutaja sisu taasloomisega. Samuti ei tohi kasutada tarkvara, mis loomine ketast pildist: see taastab ka eelmised salajased andmed.
• Mida rohkem on salajasi andmeid, seda suurem on tõenäosus, et osa teavet kaob.
• Andmete väljavõttmine kettalt võib võtta palju aega. Alates mõnest minutist kuni mõne päevani (kaasaegsed kettad on suuremad).

Vaatame nüüd detaile.

On selge, et kui lihtsalt levitada salajasi andmeid kogu kettale, siis on need peidetud vaid ligipääsmatu vaate alt. Kuid kui kasutada näiteks ketaseditoreid, saavad andmed selgelt nähtavaks. Seetõttu on andmed hea krüpteerida, et nad ei paistaks välja. Krüpteerime lihtsalt, kuid maitsekalt: kasutame algoritmi aes256-cbc. Krüpteerimise võtme küsime kasutajalt, las nad leiavad välja hea parooli.

Järgmine küsimus on, kuidas eristada „õigeid“ andmeid rikutud andmetest. Siin aitab meid kontrollsummad, ja mitte tavaline, vaid SHA1. Miks mitte? Kui git'is on see piisavalt hea, siis sobib see ka meile. Otsustasime: varustame iga salvestatud teabe fragment kontrollsummaga, ja kui see pärast dekrüpteerimist klapib — siis on dekrüpteerimine õnnestunud.

Samuti on vajalik fragmentide number ja saladusandmete kogupikkus. Fragmentide номер on vajalik jälgimiseks, millised osad me juba dekodeerisime ja millised veel alles on. Kogupikkus tuleb kasuks viimase fragmendi töötlemisel, et mitte kirjutada üleliigseid andmeid (ehk padding). Ja kuna meil on igal juhul pealkirja vajadus, lisame sinna salajase faili nime. See on vajalik dekodeerimise järel, et ei peaks ära arvama, millega seda avada.

Kontrollime meetodit praktikas

Kontrollimiseks võtame kõige levinuma mäluseadmestiku — USB mälupulga. Mul on olemas vana 1 GB, mis sobib katsetamiseks. Kui teil, nagu minulgi, tuli pähe mõte mitte vaeva näha füüsiliste seadmetega, vaid testida faili — kettapilti, siis ütlen kohe: see ei õnnestu. Kettapildi vormindamisel loob Linux selle faili uuesti ja kõik kasutamata sektorid täidetakse nullidega.

Linux masina jaoks tuli kahjuks kasutada rõdul vedelevat m eteostatsiooni Raspberry Pi 3-l. Seal ei ole palju mälu, seega ei varja me suurte faile. Piirdume maksimaalse suurusega 10 megabaiti. Liialt väikeste failide varjamine pole ka mõtet: utiliit kirjutab andmeid kettale 4 KB klastrite kaupa. Seega piirdume allpool 3 kB failiga – see mahub ühte sellesse klastrisse.

Flashi üle naljatame samm-sammult, kontrollides pärast iga etappi, kas peidetud teave loetakse:

1. Kiire vormindamine FAT16 formaadis 16 kB klastrite suurusega. See on see, mida Windows 7 pakub teha flash-mäluga, millel puudub failisüsteem.
2. Flashi täitmine igasuguse prügi 50% ulatuses.
3. Flashi täitmine igasuguse prügi 100% ulatuses.
4. „Pikk“ vormindamine FAT16 formaadis (kõikide andmete üle kirjutamisega).

Esimene kaks katset lõppesid ootuspäraselt täieliku võiduga: utiliit suutis edukalt välja tõmmata 10 megabaiti salajasi andmeid flash-mälust. Kuid pärast seda, kui flash-mälu oli failidega üle kuhjatud, toimus tõrge:

Kokku loetud klastrid: 250752, dekrüpteeritud: 158
VIGA: ei saa kirjutada puudulikku salajast faili

Nagu näha, õnnestus edukalt dešifreerida ainult 158 klastrit (632 kilobaiti toorandmeid, mis annab 636424 baiti kasulikku koormust). Selge, et 10 megabaiti siit kuidagi ei saa, kuigi nende klastrite seas on kindlasti dublipe. Isegi 1 megabait on selliselt juba taastamata. Kuid samas saab kindlalt öelda, et 3 kilobaiti salajasi andmeid saame taastada mälupulgalt isegi pärast seda, kui see vormindatakse ja üle kirjutatakse. Küll aga näitavad katsed, et selliselt mälupulgalt on täiesti võimalik välja tõmmata 120 kilobaiti faili.

Viimane test näitas kahjuks, et mälupulk on täielikult üle kirjutatud:

$ sudo ./steganodisk -p parool /dev/sda
Seade suurus: 250752 klastrit
250700 99%
Kokku loetud klastrid: 250752, dekodeeritud: 0
VIGA: ei saa kirjutada puudulikku salajast faili


Ühtegi klastrit ei säästetud... Kahju, aga mitte traagiline! Proovime enne vormindamist luua mälupulgale jaotuse, ja juba seal — failisüsteemi. Muide, see tuli tootmisest just sellise vormindamisega, nii et me ei tee midagi kahtlast.
Jätkuvalt on oodata, et vaba ruum mälupulgalt on veidi vähenenud.

On üsna ootuspärane, et 10 megabaiti ei õnnestunud täiesti täidetud kettale peita. Kuid see-eest on edukalt dekrüpteeritud klastrite arv nüüd enam kui kaks korda suurem!

Kokku lugenud klastrid: 250752, dekrüpteeritud: 405

Megabaiti kahjuks tükkidena kokku korjata ei õnnestu, aga kaks sada kilobaidi — see on kerge.

Ja lõpuks, neljanda kontrolli uudis on rõõmustav: selle mälupulga täielik vormindamine ei viinud kogu informatsiooni hävitamiseni! 120 kilobaiti salajasi andmeid mahtus kenasti kasutamata ruumi.

Kokkuvõtlik tabel testimise kohta:

Veidi teooriat: vabast ruumist ja kasutamata sektoritest

Kui olete kunagi kõvakettad jaotusteks jaganud, olete võib-olla märganud, et mitte alati ei õnnestu kogu kettal olevat vaba ruumi kasutada. Esimene jaotus algab alati teatud varu (tavaliselt 1 megabait või 2048 sektorit). Viimase jaotuse taga jääb tihti samuti väike "sabake" kasutamata sektoritest. Ja jaotiste vahele jääb vahel ka tühimik, kuigi see on harva.

Teisisõnu, ketas sisaldab sektoreid, millele pole tavapärase töö käigus juurde pääsu, kuid andmeid saab neisse sektoritesse kirjutada! Seega saab neid ka lugeda. Arvestades, et alguses on veel partitsioonide tabel ja laadimiskood, mis asuvad just tühjas piirkonnas ketta alguses.

Kaugemale partitsioonidest vaadates vaatame ketast linnulennult. Meil on ketas tühja partitsiooniga. Loome sellesse failisüsteemi. Kas saame öelda, et mõni sektor ketas on jäänud kustutamata?

Ja ja ja — trummipäring! Vastus on peaaegu alati — jah! Enamikel juhtudel tähendab failisüsteemi loomine seda, et kettale salvestatakse vaid mõned teenusinfoblockid, samas kui muu partitsiooni sisu jääb muutumatuks.

Samuti — empiiriliselt vaadates — võib eeldada, et failisüsteem ei saa alati kasutada kogu talle määratud ruumi viimasest sektorist alates. Näiteks failisüsteem FAT16, mille klastrite suurus on 64 kilobaiti, ei saa ilmselgelt täielikult kasutada jagu, mille suurus ei ole jagatav 64 kilobaitiga. Sellise jagu lõpus peab jääma mõned sektorid, mis ei ole kasutatavad kasutajaandmete salvestamiseks. Ent katsetades ei õnnestunud seda eeldust kinnitada.

Seega, et maksimeerida steganogrammi jaoks saadaval olevat ruumi, tuleks kasutada suurema klastrite suurusega failisüsteemi. Samuti on võimalik luua jagu, isegi kui see ei ole vajalik (näiteks mälupulgal). Tühi jagu loomine või mitte jaotatud alade jätmine pole vajalik — see tõmbab tähelepanu uudishimulikele.

Katsetuste jaoks mõeldud utiliit

Utiliidi allikaid saab uurida siit

Kogumise jaoks on vajalik Qt versioon 5.0 ja uuem ning OpenSSL. Kui midagi ei õnnestu koguda — võib-olla tuleb faili steganodisk.pro muuta.

Clusteri suurust saab muuta 4 KB-lt näiteks 512 baitiseks (failis secretfile.h). Samas kasvavad kulud teenuseteabe osas: pealkiri ja kontrollsummad võtavad kokku 68 baiti.

Tulega peab utiliiti käivitama loomulikult root-kasutaja õigustega, kuid ettevaatlikult. Ühtegi küsimust ei esitata enne määratud faili või seadme ülekirjutamist!

Naudi.

Allikas: habr.com