Как найти шифр в картинке

Время на прочтение
5 мин

Количество просмотров 30K

На хакерских конкурсах и играх CTF (Capture The Flag) иногда попадаются задачки на стеганографию: вам дают картинку, в которой нужно найти скрытое сообщение. Наверное, самый простой способ спрятать текст в картинке PNG — прописать его в одном из цветовых каналов или в альфа-канале (канал прозрачности). Для выявления подобных «закладок» есть специальные инструменты, такие как stegsolve, pngcheck и stegdetect, иногда конкурсантам приходится вручную повозиться с фильтрами в GIMP или Photoshop.

Однако прогресс не стоит на месте — и в последнее время всё чаще используются другие способы скрытия данных, например, PNG-наполнение. Посмотрим, как это делается.

Начнём с небольшого теоретического введения по «невидимым» частям PNG.

Альфа-канал

На экране компьютера при отображении картинки цвета создаются сочетанием красного, зелёного и синего компонентов. Эти три цветовые плоскости называются каналами. Обычно они записываются как RGB.

Кроме этих трёх каналов, в PNG может быть ещё четвёртый канал, называемый альфа (обозначается буквой А) для определения уровня прозрачности. Полученное изображение RGBA определяет видимые цвета и степень прозрачности.

В большинстве графических форматов альфа-канал является значением от 0% до 100% (или от 0 до 255 в байтах). Значение 0% (чёрный) обозначает место на изображении, где должна быть полная прозрачность — тут значение RGB игнорируется, и полностью виден фон под картинкой. Значение альфа-канала 100% (белый) означает, что каналы RGB полностью непрозрачны. Промежуточные значения определяют, насколько нужно смешать фон со значением RGB-пикселя.

Альфа-градиент в PNG

Значения альфа-градиента обычно используются для наложения изображения на другое изображение или на веб-страницу. Альфа-градиенты есть в PNG, WebP, ICO, ICN и других растровых форматах. Формат GIF поддерживает только логическое значение (пиксель либо прозрачен, либо нет).

Альфа-канал — только один из вариантов для размещения скрытого текста. Переходим к PNG-наполнению (padding) для прямой записи данных в бинарный файл.

PNG-наполнение по столбцам

Формат PNG достаточно прост. Каждый файл начинается с восьми стандартных байт подписи, вот её десятичные значения: 137 80 78 71 13 10 26 10. Первый байт выбран за пределами ASCII, чтобы никакой редактор случайно не принял изображение за текстовый файл. Следующие три байта соответствуют буквам P, N, G. Затем разрыв строки DOS (13 10), маркер DOS окончания файла (26), чтобы программа type не выдавала весь бинарный мусор, и маркер Unix новой строки.

После заголовка начинаются блоки данных (chunks) со стандартной структурой. Сначала идёт блок IHDR с указанием ширины и высоты изображения, цветового пространства, количества бит на пиксель, методом сжатия, методом фильтрации и указанием наличия/отсутствия чересстрочного кодирования. Для ширины и высоты выделено по четыре байта, для остальных параметров — по одному байту.

Затем следует опциональный блок tEXt с текстовыми метаданными, например, с названием программы, которая сгенерировала данный файл PNG. В текстовые блоки можно записывать текстовую информацию в открытом виде.

За IHDR и tEXt следуют блоки IDAT со сжатыми значениями RGB или RGBA для растровых пикселей. При рендеринге PNG обрабатывается IHDR, выделяется буфер в памяти для изображения, данные извлекаются из сжатого формата и попиксельно записываются в буфер. Файл PNG завершается блоком IEND.

В конце каждого блока записана контрольная сумма CRC для этого блока, которая вычисляется по стандартному алгоритму.

Обычно изображения PNG содержат 8 или 16 бит информации на каждый канал RGB или RGBA, то есть выходит от трёх до восьми байт на пиксель. В таком формате все байты заняты полезной информацией о цвете и прозрачности, так что в конце каждой строки графического изображения у нас нет места для записи произвольных данных.

Но для задач стеганографии нужно знать, что PNG поддерживает и меньшую глубину цвета: 1 бит (2 цвета), 2 бита (4 цвета) и 4 бита (16 цветов). В такой ситуации получается, что в одном байте хранится информация о нескольких пикселях. Вот здесь и появляется теоретическая возможность для «горизонтального» наполнения PNG посторонними данными. Если ширина картинки в пикселях не кратна восьми, то в последнем байте строки остаётся неиспользуемые биты, которые все вместе формируют целый неиспользуемый «столбец пикселей».

В случае 1-битного изображения в конце каждой строки может остаться до 7 свободных бит, которые не будут обработаны парсером. В случае 2-битного изображения в последнем байте остаётся до 3 свободных бит. Онлайновый инструмент FotoForensics находит такие неиспользуемые «столбцы пикселей» в изображениях PNG.

Впрочем, PNG-картинки с малой глубиной цвета встречаются очень редко, поэтому и данный метод стеганографии можно считать экзотикой. Если вам попалось PNG-изображение с 2, 4 или 16 цветами, один этот факт уже вызывает подозрение и может инициировать проверку PNG-наполнения по столбцам.

Совсем другое дело — PNG-наполнение за границами картинки. Это более простой метод стеганографии, который позволяет спрятать в изображении гораздо больше информации.

PNG-наполнение за границами картинки

PNG-наполнение за границами картинки (post-pixel padding) часто используется в различных играх, головоломках и конкурсах, не только хакерских. Вот как работает этот метод:

1. Берём изображение PNG (с любой глубиной цвета).

   

2. Вставляем секретную информацию в нижнюю часть картинки.

   

3. Сохраняем PNG, не используя чересстрочное кодирование.
4. Открываем файл в hex-редакторе.
5. Находим блок IHDR. Он располагается в начале файла после восьми обязательных байт подписи и помечен как IHDR.

   

6. Первые четыре байта после метки IHDR — это ширина файла, следующие четыре байта — высота. Уменьшаем это значение c 00 00 01 9D (413 пикселей), например, до 00 00 01 7E (382 пикселя).

   

7. Не забудьте пересчитать четыре байта CRC (в формате PNG вычисляется значение CRC для каждого блока данных, в том числе для IHDR), которые записаны в конце блока. Если вы не можете посчитать CRC самостоятельно, посмотрите это значение в любом PNG-файле с аналогичными значениями блока IHDR.

   Получаем результат.

   

Обратите внимание, что секретные данные остались в нижней части изображения. Размер файла не изменился: 335 906 байт. Просто парсер теперь не обрабатывает эти пиксели — и нижняя часть картинки не демонстрируется на экране.

Несложно догадаться, что в «секретной» части картинки можно спрятать не только текстовую надпись, но и произвольные данные. Например, мы можем записать туда запароленный архив RAR. Картинка с секретным посланием может быть опубликована на Habrastorage или любом другом общедоступном хостинге. Послание получит только тот человек, с которым вы заранее договорились о способе передачи информации и согласовали пароль. Таким способом вредоносные программы могут передавать полезную нагрузку через Хабр и другие общедоступные хостинги.

На правах рекламы

VDS для размещения сайтов — это про наши эпичные! Все серверы «из коробки» защищены от DDoS-атак, автоматическая установка удобной панели управления VestaCP. Лучше один раз попробовать

Данный калькулятор применяет стеганографический метод для сокрытия сообщения в цифровом изображении. Вы можете загрузить картинку и ввести сообщение — калькулятор сгенерирует картинку со спрятанным в ней сообщением. Для извлечения сообщения из картинки нужно использовать парный калькулятор ниже — если загрузить в него изображение, сгенерированное первым калькулятором, то он покажет скрытое в нем сообщение. Подробнее про стеганографические методы сокрытия информации в цифровых изображениях можно прочитать под калькулятором.

Калькулятор для добавления сообщения в изображение:

Калькулятор для извлечения сообщения из изображения, созданного калькулятором выше:

Стеганография в цифровых изображениях

Стеганография — способ передачи или хранения информации с учетом сохранения в тайне самого факта такой передачи (хранения). Таким образом, в отличие от криптографии, стеганография скрывает сам факт существования тайного сообщения. Информация скрывается в объекте-носителе (англ. carrier) или контейнере, при этом после добавления сообщения объект-носитель должен выглядеть «нормальным», так, чтобы присутствие спрятанного сообщения в нем было незаметно постороннему наблюдателю. Поскольку стеганография никак не шифрует скрытую информацию, стеганографические методы применяют в дополнение к криптографическим.

Стеганография может применяться для скрытия информации в разных типах цифровых данных: тексте, изображениях, аудио и видеофайлах. Цифровые изображения представляют в этом смысле чуть ли не самый популярный формат объекта-носителя, поскольку имеют большой объем и не вызывают подозрений при публикации в соцсетях и отправке по электронной почте.

Стеганографические методы, то есть методы встраивания тайного сообщения в объект-носитель, обычно оценивают по нескольким критериям:

1. Незаметность или уровень восприятия (imperceptibility) — в случае с цифровым изображением, человек не должен увидеть разницу между исходным изображением и изображением со встроенным в него тайным сообщением.
2. Емкость/Вместимость (embedding capacity) — максимальный объем данных, который можно вставить в объект-носитель.
3. Устойчивость (robustness) — способность сообщения сопротивляться искажениям, вносимым при обработке или передаче объекта контейнера, например, при сжатии изображения или при редактировании (вращении или переворачивании изображения). Такие искажения иногда используются для целенаправленного повреждения стеганограммы.

Также могут учитываться и другие характеристики, например, устойчивость к статистической атаке (стеганограмма не должна создавать в объекте-носителе характерную сигнатуру, выявляемую методами статистического анализа), независимость от формата (метод можно применять к файлам разных форматов), скрытность (сложность обнаружения стеганограммы в носителе, если известно, что она там есть).

Стеганографические методы для цифровых изображений разделяются на два класса: пространственные методы (или методы для временной области) и частотные методы (или методы для частотной области). Пространственные методы манипулируют значениями в пространственной области — пикселями. Частотные методы — частотными характеристиками изображения.

Основные пространственные методы:

• LSB (англ. Least Significant Bit — Наименее значимый бит)
• PVD (англ. Pixel Value Difference — Разность значений пикселей)
• GLM (англ. Grey Level Modification — Изменение уровня серого)
• MPV (англ. Mid Position Value — Значение в средней позиции)

Основные частотные методы:

• DCT (англ. Discrete Cosine Transform — Дискретное косинусное преобразование)
• DWT (англ. Discrete Wavelet Transform — Дискретное вейвлет-преобразование)

Метод наименее значимого бита (LSB — Least Significant Bit)

Этот метод является наиболее простым методом стеганографии цифровых изображений. Метод заключается в замене наименее значимых бит изображения-контейнера на биты сообщения. Логику метода можно проиллюстрировать следующей картинкой

Метод обладает хорошей незаметностью. Изменение одного бита в цвете соответствует изменению базового цвета на 1/256 от возможного диапазона или 0,4%, что не позволяет человеческому глазу заметить искажение изображения. Существуют модификации LSB, меняющие 2, 3 или даже 4 младших бита в байте цвета. При этом даже в самом худшем случае изменение базового цвета составляет 16/256, или 6,25%, что также довольно незаметно для человеческого глаза. Могут применяться модификации, затрудняющие выявление сообщения, например, вставка только в один байт цвета.

Метод обладает хорошей емкостью по сравнению с другими методами. Для 24-битной RGB-модели каждый пиксель изображения может содержать 3 бита тайного сообщения (меняют три байта цвета, байт для прозрачности не изменяют). Таким образом, используя метод LSB, в цифровое изображение размером 3048 на 2032 пикселя можно встроить примерно 2 мегабайта скрытых данных. Разумеется, это верно, если речь идет о форматах, которые используют для хранения изображения алгоритмы сжатия без потери данных (lossless compression), например, png и gif, и неверно для формата jpg. Именно поэтому калькуляторы выше генерируют стегоизображение в png формате.

К недостаткам же метода можно отнести его слабую устойчивость — метод очень чувствителен к искажениям стегоизображения.