Стеганографија по датотекама: скривање података директно у секторима

Мали предговор

Стеганографија, ако се неко не сећа, крије информације у неким контејнерима. На пример, на сликама (разговарано овде и овде). Такође можете сакрити податке у сервисним табелама система датотека (о томе је писано овде), и чак у сервисним пакетима ТЦП протокола. Нажалост, све ове методе имају један недостатак: да бисте неприметно „убацили“ информације у контејнер, потребни су вам лукави алгоритми који узимају у обзир специфичности унутрашње структуре контејнера. И проблеми настају са отпорношћу контејнера на манипулацију: на пример, ако мало уредите слику, скривене информације се губе.

Да ли је могуће некако проћи без лукавих алгоритама и суптилних манипулација подацима, а ипак осигурати функционалност контејнера и прихватљив ниво сигурности скривених података? Гледајући унапред, рећи ћу - да, можете! Чак ћу понудити и услужни програм.

Крвави детаљи методе

Основна идеја је једноставна као ударац у чело: на диску постоје области у које оперативни систем никада не уписује (или у ретким случајевима пише). Да бисмо избегли потребу да тражимо ове области помоћу лукавих алгоритама, користићемо редундантност - то јест, дуплираћемо наше скривене информације много, много пута у свим секторима диска. Затим, одмах на врху свег овог сјаја, можете креирати потребне партиције, форматирати системе датотека, писати датотеке и инсталирати оперативне системе - свеједно, део тајних података ће бити сачуван и може се преузети, а поновљено дуплирање ће нам помоћи саставите оригиналну целину од делова.

Предност ове методе је очигледна: не зависимо од формата датотеке, па чак ни од типа коришћеног система датотека.

Недостаци су такође, мислим, очигледни:

• Тајни подаци се могу променити само потпуним поновним писањем целог диска, након чега следи поновно креирање садржаја видљивог кориснику. Међутим, не можете користити софтвер који поново креира диск са слике: он ће такође поново креирати претходне тајне податке.
• Што је већи обим тајних података, већа је вероватноћа губитка неке информације.
• Преузимање података са диска може потрајати дуго. Од неколико минута до неколико дана (савремени дискови су велики).

Сада пређимо на појединости.

Јасно је да ако тајне податке једноставно размажете по диску, они ће бити скривени само од голог ока. Ако свој поглед опремите, рецимо, уређивачем дискова, подаци ће се појавити у свом сјају. Због тога би било добро шифровати податке тако да се не појављују. Шифроваћемо једноставно, али са укусом: користећи аес256-цбц алгоритам. Тражићемо од корисника кључ за шифровање и пустити га да смисли добру лозинку.

Следеће питање је како можемо разликовати „добре“ податке од лоших података. Овде ће нам помоћи контролни збир, али не једноставан, већ СХА1. И шта? Довољно је добар за гит, па ће и нама одговарати. Одлучено: сваком сачуваном делу информације дајемо контролни збир, а ако се после дешифровања подудара, то значи да је дешифровање успешно.

Такође ће вам требати број фрагмента и укупна дужина тајних података. Број фрагмента је да прати које делове смо већ дешифровали, а који су остали. Укупна дужина ће нам бити корисна приликом обраде последњег фрагмента, како не бисмо писали непотребне податке (то јест, паддинг). Па, пошто још увек имамо заглавље, тамо ћемо додати име тајне датотеке. Биће корисно након дешифровања, да не бисте погодили како да га отворите.

Испитивање методе у пракси

Да проверимо, узмимо најчешћи медиј - флеш диск. Нашао сам један стари са капацитетом од 1 ГБ, који је сасвим погодан за експерименте. Ако сте, попут мене, дошли на идеју да се не замарате физичким медијима, већ да га тестирате на датотеци - слици диска, онда ћу одмах рећи: неће радити. Када форматира такав „диск“, Линук поново креира датотеку и сви неискоришћени сектори ће бити попуњени нулама.

Као машина са Линук-ом, нажалост, морао сам да користим метеоролошку станицу на Распберри Пи 3 која лежи на балкону. Тамо нема пуно меморије, тако да нећемо сакрити велике датотеке. Ограничавамо се на максималну величину од 10 мегабајта. Такође нема смисла сакривати датотеке које су премале: услужни програм записује податке на диск у кластерима од 4 КБ. Стога ћемо се у наставку ограничити на датотеку од 3 кб - она ​​се уклапа у један такав кластер.

Исмејаваћемо флеш диск у фазама, проверавајући након сваке фазе да ли су скривене информације читљиве:

1. Брзо форматирање у ФАТ16 формату са величином кластера од 16 КБ. То је оно што Виндовс 7 нуди да уради са флеш диском који нема систем датотека.
2. Пуњење флеш диска свим врстама смећа за 50%.
3. Пуњење флеш диска свим врстама смећа за 100%.
4. „Дуго“ форматирање у ФАТ16 формату (преписивање свега).

Прва два теста, очекивано, завршила су се потпуном победом: услужни програм је успео да успешно извуче 10 мегабајта тајних података са флеш диска. Али након што је флеш диск био попуњен датотекама, дошло је до грешке:

Total clusters read: 250752, decrypted: 158
ERROR: cannot write incomplete secretFile

Као што видите, само 158 кластера је успешно дешифровано (632 килобајта необрађених података, што даје 636424 бајта корисног оптерећења). Јасно је да овде не постоји начин да се добије 10 мегабајта, а ипак међу овим кластерима има очигледних дупликата. На овај начин не можете повратити чак ни 1 мегабајт. Али можемо гарантовати да ћемо опоравити 3 килобајта тајних података са флеш диска чак и након што је форматиран и уписан у капацитет. Међутим, експерименти показују да је са таквог флеш диска сасвим могуће издвојити датотеку дугу 120 килобајта.

Последњи тест је, нажалост, показао да је цео флеш диск преписан:

$ sudo ./steganodisk -p password /dev/sda
Device size: 250752 clusters
250700 99%
Total clusters read: 250752, decrypted: 0
ERROR: cannot write incomplete secretFile


Ни један грозд није преживео... Тужно, али не и трагично! Пре форматирања, покушајмо да направимо партицију на флеш диску, а већ у њој систем датотека. Иначе, дошао је из фабрике управо са овим форматирањем, тако да не радимо ништа сумњиво.
Сасвим је очекивано да се расположиви простор на флеш диску мало смањио.

Такође је сасвим очекивано да се 10 мегабајта не може сакрити на потпуно пуном диску. Али сада се број успешно дешифрованих кластера више него удвостручио!

Total clusters read: 250752, decrypted: 405

Нажалост, немогуће је саставити мегабајт од комада, али две стотине килобајта је лако.

Па, вест о последњој, четвртој провери, овог пута је радосна: потпуно форматирање таквог флеш диска није довело до уништења свих информација! 4 килобајта тајних података савршено се уклапа у неискоришћени простор.

Табела резимеа теста:

Мало теоретисања: о слободном простору и неискоришћеним секторима

Ако сте икада поделили чврсти диск на партиције, можда сте приметили да није увек могуће доделити сав слободан простор на диску. Први одељак увек почиње неким увлачењем (обично 1 мегабајт или 2048 сектора). Иза последњег одељка такође се дешава да остане мали „реп“ неискоришћених сектора. И понекад постоје празнине између секција, иако ретко.

Другим речима, на диску постоје сектори којима се не може приступити током нормалног рада са диском, али се подаци могу уписивати у ове секторе! А то значи и читање. Прилагођено чињеници да постоји и табела партиција и код покретача, који се налазе у празном подручју на почетку диска.

Хајде да се мало одморимо од секција и погледамо диск из птичје перспективе, да тако кажем. Овде имамо празну партицију на диску. Хајде да направимо систем датотека у њему. Можемо ли рећи да неки сектори на диску остају неизбрисани?

Е-е-е - бубањ! Одговор ће скоро увек бити да! Заиста, у већини случајева, креирање система датотека се своди на писање само неколико блокова сервисних информација на диск, а иначе се садржај партиције не мења.

И такође – чисто емпиријски – можемо претпоставити да систем датотека не може увек да заузме сав простор који му је додељен до последњег сектора. На пример, систем датотека ФАТ16 са величином кластера од 64 килобајта очигледно не може у потпуности да заузме партицију чија величина није вишеструка од 64 килобајта. На крају таквог одељка мораће да постоји „реп“ од неколико сектора, недоступних за чување корисничких података. Међутим, ова претпоставка се није могла експериментално потврдити.

Дакле, да бисте максимално повећали расположиви простор за стеганограм, морате да користите систем датотека са већом величином кластера. Такође можете креирати партицију, чак и ако то није неопходно (на пример, на флеш диску). Нема потребе да правите празне делове или остављате нераспоређена подручја - ово ће привући пажњу заинтересованих грађана.

Услужни програм за експерименте

Можете додирнути изворни код услужног програма овде

Да бисте направили, биће вам потребан Кт верзија 5.0 или новија и ОпенССЛ. Ако нешто не ради, можда ћете морати да уредите датотеку стеганодиск.про.

Можете променити величину кластера са 4 КБ на, рецимо, 512 бајтова (у сецретфиле.х). Истовремено ће се повећати цена сервисних информација: заглавље и контролни збир заузимају фиксних 68 бајтова.

Услужни програм морате покренути, наравно, са роот корисничким правима и са опрезом. Неће се постављати питања пре преписивања наведене датотеке или уређаја!

Уживати.

Извор: ввв.хабр.цом