SI-LABOR VERSUCH 3 Verschlüsseln von Informationen/Daten mit Hilfe steganographischer Techniken

Transkript

1 SI-LABOR VERSUCH 3 Verschlüsseln von Informationen/Daten mit Hilfe steganographischer Techniken Abbildung 1: Künstlerische Darstellung zur Verschlüsselung. Quelle: Steganos

2 INHALTSVERZEICHNIS 1 Lernziele 3 2 Einführung in das Thema 4 3 Grundlagen Technik des Versteckens Wege, einen Steganogramm zu enttarnen Visuelle Angriffe Statistische Angriffe Möglichkeiten des Angreifers Fazit der Untersuchung verschiedener Programme 20 4 Versuchsaufbau 22 5 Aufgabenstellung im Versuch 23 Literatur Quellen 24 Information zu dieser Ausarbeitung 24 Seite 2

3 1 Lernziele Im Rahmen dieses Versuchs sollen die Grundlagen zur Technik von Wahrung der Geheimhaltung durch Steganographie, dem Enttarnen fremder steganographisch versteckten Daten sowie von Schutzmassnahmen vor dem eigenen Enttarntwerdnen vermittelt werden. Dazu werden Fragen geklärt wie: - Was bedeutet Steganographie? - Was sind digitale Wasserzeichen im Vergleich zu steganographisch genutzten Datenträgern? - Was ist der Unterschied zwischen Verschlüsseln mit PGP und Verschlüsseln mit Steganos? - Was kann ich womit verschlüsseln? - Wie groß können zu versteckende Daten im Verhältnis zum Datenträger sein? Seite 3

4 2 Einführung in das Thema Steganographie, aus dem Griechisch-Neulateinischen, bedeutet Geheimschrift bzw. Geheimschreibkunst; mit diesem Ausdruck verbindet der Informationstechniker Software zur Geheimhaltung von Informationen. Verschlüsselte Botschaften, zum Beispiel mit PGP (Pretty Good Privacy) verschlüsselte Dateien, fallen schon durch ihr Dateiformat auf: Der Absender hat wohl etwas zu verbergen und zieht allein deshalb den Verdacht auf sich. Ist der Absender aber daran interessiert, die Information nicht nur zu verschlüsseln, sondern die Informationsübermittlung selbst zu verschleiern (stellt ja auch eine möglicherweise zu eindeutige Information dar), hilft die Steganographie weiter, indem sie die Nachricht in einem harmlosen Trägermedium versteckt. Diese Art der Geheimhaltung hat eine lange Tradition: Bereits Herodot, einer der ersten Geschichtsschreiber, berichtete vor rund 2500 Jahren darüber, wie man mit Steganographie Mitteilungen vertraulich hält. Man ging damals kreativ zur Sache: Scheinbar unbenutzte Wachs-Schreibtafeln trugen die Nachricht auf dem Holz unter der Wachsschicht; Botschaften wurden in Tiere eingenäht, die der Bote als Jäger verkleidet wie Beute zum Empfänger trug. Sklaven tätowierte man bei kahlrasiertem Schädel die Nachricht auf die Kopfhaut und sandte sie, sobald das Haar nachgewachsen war, für eine erneute Rasur zum Empfänger. Abbildung 2: In diesem Bild versteckte Hans Holbein der Jüngere bereits 1533 eine geheime Botschaft. Seite 4

5 Eine andere, bis in die Zeit des kalten Krieges allgemein verbreitete Form von versteckter Kommunikation war die Verwendung von unsichtbarer Tinte. Dabei konnte ein harmlos erscheinender Brief eine ganz andersartige, geheime Nachricht, geschrieben zwischen den Zeilen, enthalten. Als unsichtbare Tinte wurden früher Milch, Weinessig, Fruchtsäfte oder Urin genutzt, die auf Grund des technischen Fortschritts später durch chemische Zusammensetzungen ersetzt werden konnten. Manche Nachrichten mussten sogar wie Photographien in einer Reihe chemischer Prozesse entwickelt werden wurde in Deutschland eine Kleinpunkttechnologie microdots entwickelt, die FBI Direktor J. Edgar Hoover als the enemy's masterpiece of espionage bezeichnete. Dabei sind die Nachrichten weder versteckt, noch verschlüsselt, sondern so klein, dass man ihnen keine Aufmerksamkeit schenkt. Dadurch lassen sich große Mengen an Daten, die Zeichnungen und Photographien enthalten können, übermitteln. Um Spionen das Übermitteln versteckter Informationen zu erschweren, reglementierten die Regierungen von Großbritannien und den USA im Zweiten Weltkrieg die internationalen Postsendungen. Verboten war das Verschicken von Schachaufgaben, Kreuzworträtseln, Zeitungsausschnitten, Strickmustern, Liebesbriefen und Kinderzeichnungen. Blumengrüße, Musikwünsche im Radio und Chiffreanzeigen waren suspekt und wurden eingeschränkt. Teilweise formulierten die Zensurbehörden der Regierungen sogar abgefangene Briefe um oder klebten die Briefmarken auf den Umschlägen an andere Positionen. Ein einfaches klassisches Verschlüsselungsbeispiel sieht man beispielsweise an folgendem Urlaubsgruß: Liebe Kolleginnen! Wir genießen nun endlich unsere Ferien auf dieser Insel vor Spanien. Wetter gut, Unterkunft auch, ebenso das Essen. Toll! Gruß, G.D. Die enthaltene, versteckte Botschaft lässt sich entziffern, indem man die Buchstaben bis zum nächsten Leerzeichen also einschließlich Satzzeichen zählt und folgende Regel anwendet: Ist die Anzahl ungerade, ergibt sich eine 0, sonst eine 1. Mit dieser einfachen Vorschrift ergeben die ersten acht Wörter , was dezimal 83 entspricht und nach der ASCII-Tabelle den Buchstaben S ergibt. Die nächsten acht Wörter ergeben , Buchstabe O, und die letzten acht Wörter wieder S. So handelt es sich bei dem Urlaubsgruß tatsächlich um einen versteckten Hilferuf SOS. Seite 5

6 Zweieinhalbtausend Jahre nach Herodot ist mit dem Computer als gängiges Kommunikationsmedium die Steganographie so populär und verbreitet wie nie zuvor. Aus gutem Grund, denn auch wenn eine mit PGP verschlüsselte Nachricht sicher vor Angriffen ist, kann allein schon deren Existenz die beteiligten Personen gefährden oder die Gegenseite zu Aktionen veranlassen. Politisch Verfolgte nutzen Steganographie für die Kommunikation deshalb genauso wie Unternehmen, die eine Fusion planen. In solchen Fällen kann alleine schon eine intensive Kommunikation verdächtig sein. Also versteckt man die Nachrichten in einigen Bildern auf einer harmlos aussehenden Homepage... Einige Regierungen wie Pakistan, Russland und China beschränken die zivile Nutzung der Kryptographie, und auch hierzulande ist man davor nicht gefeit, wie die Diskussion über die Lauschverordnung zeigt. Wenn aber die geheime Nachricht verborgen ist und nicht als verschlüsselte Botschaft die Aufmerksamkeit auf sich lenkt, kann die Anwendung von sicherer Steganographie nicht wirkungsvoll strafrechtlich verfolgt werden. Damit läuft ein Verschlüsselungsverbot ins Leere. Die Verbindung von Steganographie und Verschlüsselung ist hier auch ein schlagkräftiges Argument gegen jedwede staatliche Bevormundung, zumal Verschlüsselungssoftware, die wirksamen Schutz bietet, oftmals nichts kostet [1]. Seite 6

7 3 Grundlagen Zuerst einmal müssen die Unklarheiten bei der Unterscheidung in der Funktion von digitalen Wasserzeichen und der In-Bild-Verschlüsselung geklärt werden. Im Zusammenhang mit MP3-Dateien und kommerziellen Bilddatenbanken ist immer wieder von digitalen Wasserzeichen die Rede, die so eingebettet sein sollen, dass die Trägerdatei nicht sichtbar verändert wird. Trotz dieser Eigenschaft hat ein Wasserzeichen mit Steganographie wenig zu tun, denn beide Ansätze haben völlig verschiedene Ziele. Die einzige Gemeinsamkeit liegt darin, dass ein Trägermedium (Bild oder Audiofile) eine Nachricht enthält. Wasserzeichen sollen digitale Werke vor urheberrechtlichem Missbrauch schützen, indem diese beispielsweise einen sichtbaren oder unsichtbaren Copyright-Vermerk enthalten. Der Vermerk sollte so verankert sein, dass man ihn nicht entfernen oder unkenntlich machen kann, ohne das Trägermedium bis zur Unbrauchbarkeit zu verändern. Nachdem die Copyright-Notiz vernichtet ist, soll das digitale Video oder das Musikstück von so schlechter Qualität sein, dass Raubkopieren sich nicht mehr lohnt. Ein digitales Wasserzeichen muss daher robust sein. Es ist dabei zweitrangig, ob Angriffsmethoden die Veränderungen einer Datei durch Wasserzeichen nachweisen können. Die Unterhaltungsindustrie und die Medienkonzerne geben derzeit viel Geld für die Entwicklung stabiler digitaler Wasserzeichen aus, doch nach dem Stand der Forschung ist man noch meilenweit von diesem Ziel entfernt, und selbst die beteiligten Wissenschaftler hegen berechtigte Zweifel, ob es je erreicht wird. Ein Steganogramm, also ein mit einer Nachricht versehenes Trägermedium, muss dagegen zuallererst gut verstecken können und braucht erst in zweiter Linie robust zu sein. Die Bits sollen so geschickt verborgen sein, dass ein Angreifer deren Existenz nicht erkennt. Lediglich der Adressat soll wissen, mit welchem Programm er welchem Trägermedium die Nachricht entlocken kann. Angriffe gegen Steganogramme haben zum Ziel herauszufinden, ob ein solches überhaupt vorliegt, bevor es darum geht, die eingebettete Nachricht zu extrahieren. Seite 7

8 Als Trägermedium kommen Bilder, Audiodateien und Texte in Frage. Den Schöpfern steganographischer Software mangelt es dabei nicht an Einfallsreichtum und Kreativität: Es gibt Algorithmen für verschiedene Bilddateiformate, Audiodateiformate, aber auch Tools für verschiedene Textformate sowie Exoten, die zum Beispiel Bits in Nonsenstexte oder vermeintliche Spam-Mails verwandeln. 3.1 Technik des Versteckens Das grundlegende Prinzip von Verfahren der rechnergestützten Steganographie besteht im Ersetzen von unbedeutenden Daten, beispielsweise des Hintergrundrauschens beim Telefonieren oder bei Radioübertragungen, durch geheime Informationen. Um gute Verfahren zu entwickeln, ist es notwendig, die für die Information gewählte Übertragungsmethode genauestens zu untersuchen, damit die Daten nicht im 'Rauschen' auszumachen sind. Hier sind statistische Analysen von großer Bedeutung. So ist z.b. zum Verstecken von Daten in einem Bild folgendes Hintergrundwissen notwendig: Für den Computer ist ein Bild eine Folge von Zahlen, die Lichtintensitäten an verschiedenen Punkten des Bildes, sogenannten Pixels, darstellen. Ein allgemein verbreitetes Bildformat ist 640*480 Pixel mit 256 Farben (8 Bit pro Pixel). Ein solches Bild kann mehr als 300 Kilobits an Daten enthalten. Ein ganz normal erscheinendes Bild, das versteckte Informationen enthält, ist dabei eine sogenannte Trägerdatei oder Container. Die Nachricht ist die zu versteckende Information, die entweder ein reiner Text, ein chiffrierter Text, ein anderes Bild oder alles andere, das im niederwertigsten Bit (LSB = last significant bit) eingebettet werden kann, ist. Nehmen wir nun an, wir haben ein 24-Bit-Bild mit 1024*768 Pixels (Standard für Satellitenbilder, elektronische Sternphotographien und andere hochauflösende Graphiken), das eine Datei mit mehr als 2 MB (1024*768*24/8 = Bytes) erfordert. Alle Farbinformationen setzen sich aus den drei Grundfarben rot, grün und blau zusammen. Jede Grundfarbe benötigt dabei 1 Byte (= 8 Bits). 24-Bit-Bilder benutzen 3 Byte (= 24/8) pro Pixel. Falls Informationen im niederwertigsten Bit jeden Bytes gespeichert werden, können folglich 3 Bits pro Pixel für geheime Nachrichten verwendet werden. Das Containerbild sieht für das Auge noch genauso aus, wenn man es mit dem Original vergleicht. Seite 8

9 Leider sind 24-Bit-Bilder im Vergleich zu den oben erwähnten 8-Bit-Bildern unüblicher und viel zu groß. Sie würden Aufmerksamkeit erregen, wenn man sie durchs Netzwerk schicken würde. Um eine solche Datei zu übertragen, ist eine Komprimierung notwendig, die jedoch die Informationsspeicherung stören könnte. Im Allgemeinen unterscheidet man zwei Arten von Komprimierung, eine ohne und eine mit Verlusten. Beide Methoden sparen Speicherplatz, aber liefern unterschiedliche Ergebnisse bei der Dekomprimierung: a) Komprimierung ohne Verluste Wird bevorzugt, wenn die Information unter allen Umständen wieder im Orginalzustand benötigt wird. (Verwendung von GIF- und BMP-Bildern). b) Komprimierung mit Verlusten Kann die Vollständigkeit des Originalbildes nach der Dekomprimierung nicht garantieren, liefert aber ein optimales Komprimierungsergebnis. (Verwendung von JPG- Bildern). Eine gute Alternative zu den oben genannten 24-Bit-Bildern bieten 256-Farb-Bilder oder 256-Graustufen-Bilder. Dies ist das im Internet am häufigsten anzutreffende Format der GIF-Files. Jedes Pixel wird dabei durch ein Byte (= 8 Bits) dargestellt. Das Entscheidende in Bezug auf Steganographie ist dabei nicht, ob das Bild nun farbig oder graustufig ist, sondern wie sich ein Bitwechsel optisch niederschlägt, d.h. ob z.b. zwischen den Lichtintensitäten 230 (dezimaler Wert) und 231 für das menschliche Auge ein gravierender Unterschied festzustellen ist Abbildung 3: 256-Farb-Palette (Rotstich). Seite 9

10 Abbildung 4: Links: Originalbild. Rechts: Der dezimale Wert jedes Pixel wurde um eins erhöht, die Wirkung ist nicht direkt ersichtlich. Neben den eigentlich zu versteckenden Daten sind noch sogenannte Header einzufügen, die Auskunft über die Länge der Daten und gegebenenfalls über die veränderten LSB geben, so dass die Ursprungs-Files wieder hergestellt werden können. Ein Beispiel In diesem Beispiel wird gezeigt, wie Daten in einem 256-Farb-Bild oder 256-Graustufen-Bild versteckt werden, indem das niederwertigste Bit überschrieben wird. Dazu enthalte unsere Bilddatei folgende acht Bytes an einer beliebigen Stelle: Um beispielsweise das Byte 213 (binär ) hineinzukodieren, überschreibt das Programm jeweils das LSB mit dem entsprechenden Bit der zu versteckenden Information. Daraus ergibt sich: Seite 10

11 Die Werte ändern sich also höchstens um Eins im Vergleich zur Originaldatei, so dass bei einer Farbpalette mit 256 Farben bzw. Graustufen vom menschlichen Auge kein Unterschied wahrgenommen werden kann. Da pro Byte der Bilddatei nur ein Bit der zu versteckenden Datei codiert werden kann, darf die geheime Information höchstens ein Achtel so groß sein wie die Originaldatei Verschiedene Bildformate Für Bilddateien existiert eine Vielzahl von unterschiedlichen Formaten wie GIF, JPEG, TIF oder PNG. Für diejenigen von ihnen, die nicht verlustbehaftet komprimieren, folgen viele Steganographie-Tools einem einfachen Schema: Die eingebettete Nachricht landet in den niederwertigsten Bits der Farbwerte eines Bildpunkts. Eine Farbe besteht aus den Anteilen Rot, Grün und Blau (RGB). Die Farbtiefe bestimmt dabei die mögliche Farbvielfalt im Bild. Bei einem Byte pro Anteil belegt ein Bildpunkt in True-Color- Bildern beispielsweise 3 Bytes und kann (224) Farbnuancen annehmen. In Indexfarbenbildern wie GIF wird die Nachricht meist in einem Bit pro Bildpunkt versteckt. Das niederwertigste Bit hat dabei den kleinsten Einfluss auf den Gesamtwert. Viele Algorithmen überschreiben deshalb einfach die drei niederwertigsten Bits in jedem Bildpunkt und können somit 3 x Höhe x Breite (Bits) in ein Bild einbetten: Bei 200 x 200 Pixeln sind das maximal 117 KByte. Unkomprimierte Bilder wie zum Beispiel solche im BMP-Format erreichen jedoch schnell die Größe von einigen Megabytes, sind als -Anhang sperrig und vor allem verdächtig groß, und allein schon deshalb für diesen Zweck als Trägermedium ungeeignet. So genannte Indexfarbenbilder, zum Beispiel GIFs, sind dagegen nur rund ein Drittel so groß wie True-Color-Bilder. Sie speichern nur die 256 wichtigsten Farben in einer eigenen Palette. Jeder Bildpunkt verweist dann durch einen Index auf den entsprechenden Paletteneintrag. Somit muss nur noch ein Byte je Bildpunkt abgespeichert werden. In diesem Fall genügt es allerdings nicht, die niederwertigsten Bits zu verändern, denn beim Einbetten muss der Algorithmus zusätzlich noch die Palette sortieren, damit die Farbänderung möglichst gering ausfällt. In der Regel passt in ein Indexfarbenbild Höhe x Breite (Bits), also ein Bit je Bildpunkt, und für unser Beispiel oben reduziert sich die maximale Nachrichtengröße auf 39 KByte. Seite 11

12 Teilweise sind die Bilder auch verlustfrei komprimiert (GIF, PNG, PCX). Die meisten steganographischen Algorithmen packen für diese Formate die Bilddatei vor dem Einbetten aus und nach der Veränderung der niederwertigsten Bits wieder ein. Schwieriger wird es mit verlustbehaftet komprimierten Bildern, zum Beispiel solchen im JPEG-Format. Sie erreichen sehr hohe Kompressionsraten, wobei geringfügige Veränderungen des Bildes in Kauf genommen werden. Diese geringe Nebenwirkung der Kompression wirbelt mit Vorliebe die niederwertigsten Bits durcheinander - genau die Bits also, die Steganographie-Anwendungen gern verwenden, um Nachrichten zu verstecken. Würde eine JPEG-Datei vor dem Einbetten entpackt und anschließend wieder komprimiert, so wäre die Nachricht durch die Verluste schon vernichtet oder zumindest erheblich gestört. So einfach geht es also nicht. Abbildung 5: Der JPEG-Algorithmus wandelt Bildpunkte mit der diskreten Kosinustransformation (DCT) in Frequenzkoeffizienten um. Da diese gerundet (quantisiert) werden, entstehen Verluste. Nachrichten werden deshalb erst nach diesem Schritt versteckt. Quelle: c t [2]. Die Kenntnis darüber, wie JPEG-Bilder entstehen, hilft, die Einbettungsstrategie zu verstehen: Zunächst wird das Ausgangsbild mit der so genannten diskreten Kosinustransformation (DCT) vom Pixelbereich in einen Frequenzraum transformiert. Es entstehen dabei genauso viele Frequenzkoeffizienten wie Bildpunkte vorhanden sind. Im zweiten Schritt quantisiert JPEG die Koeffizienten, was im Grunde auf eine Rundung hinausläuft, die zu geringen Bildveränderungen führt. Es entstehen dabei positive und negative ganze Zahlen und am häufigsten der Wert 0, da die meisten Frequenzen mit einem nahezu verschwindenden Anteil auftreten. Die Koeffizienten lassen sich wegen der vielen Nullen verlustfrei und besonders platzsparend abspeichern. An dieser Stelle greifen Steganographie-Anwendungen ein, indem sie nach der Quantisierung die niederwertigsten Bits dieser Koeffizienten überschreiben. Seite 12

13 Nutzung von Audio- und Textdateien Was exemplarisch an Bilddateien gezeigt wurde, gilt auch für Audio-Files: Es gibt verlustbehaftet komprimierte (MP3) und unkomprimierte oder verlustfrei komprimierte Audiodateiformate (WAV, VOC). In WAV-Dateien überschreibt ein Steganographie- Tool die niederwertigsten Bits der einzelnen Sample-Werte. Die Sample-Werte umfassen 8 oder 16 Bits, so dass diese Dateien etwa 1/8 oder 1/16 ihrer Größe an steganographischen Daten aufnehmen können. Sogar in Texte kann Information eingebettet werden. Das Überschreiben der niederwertigsten Bits ist dabei aber nicht empfehlenswert. Der vorangegangene Satz würde dann so aussehen: Dar!Ücdqrchs diben!der!nidedsveruhgrudochst!hst!dabeh! cds ojchu elqfehmdorwdst/. Dann kann man auch gleich ohne Deckung verschlüsselte Nachrichten senden. Steganographieanwendungen für Text ersetzen daher Wörter durch Synonyme, verändern den Umbruch oder fügen Leerzeichen und Tabulatoren am Zeilenende ein. Oft bietet das Trägermedium mehr Platz als die einzubettende Nachricht braucht. Doch statt die Nachricht gleichmäßig über das Medium zu verteilen, beginnen viele Algorithmen stur am Dateianfang und hören irgendwo mittendrin auf. Das ist ungeschickt, denn die Einbettdichte ist dann nicht gleichmäßig, wenn der hintere Dateiteil unverändert bleibt (siehe Abb.6). Dieser Unterschied ermöglicht einen Angriff durch Vergleich. Viel sinnvoller ist es, die Nachricht unabhängig von der Länge über das ganze Trägermedium zu verteilen. Wird die Kapazität nur zur Hälfte ausgenutzt, so sinkt auch die Änderungsdichte auf die Hälfte und damit die Gefahr einer Entdeckung. Abbildung 6: Links: Mit dem Programm Mendelsteg 1.0 werden Daten in visuellen Darstellungen von sogenannten Mandelbrotmengen versteckt. Rechts: Der Algorithmus fängt beim Verstecken am Anfang der Trägerdatei an und hört bei fertigversteckter Quelle auf (hier 25% Ausnutzung der Trägerdatei); ähnlich verfährt Steganos. Quelle: c t [2]. Seite 13

14 Einige Algorithmen (wie bei den Programmen BlindSide oder White Noise Storm) berücksichtigen sogar den Bildinhalt, und wenn sie feststellen, dass der Informationsgehalt zum Beispiel eines reinen Weißbildes praktisch bei Null liegt, weigern sie sich, etwas einzubetten; sie passen sich dem Trägermedium an, sind also adaptiv. 3.2 Wege, einen Steganogramm zu enttarnen Der Angreifer hat ein Bild, einen Text oder Musik und steht vor der Frage, ob die Datei sauber ist oder steganographisch manipuliert wurde. Allein die oben gegebenen Grundkenntnisse, wie man Nachrichten prinzipiell in Dateien verstecken kann, reichen aus, um gegen die die meisten Steganographie-Anwendungen erfolgreiche und recht einfache Angriffsstrategien zu entwickeln. Abbildung 7: Bei rechnergestützter Steganographie versucht ein Angreifer, die Nachricht direkt aus dem Steganogramm herauszufiltern es sei denn, er weiß, welche Anwendung die Nachricht im Bild versteckt hat. Quelle: c t [2]. Für Angriffstests dienen außer dem Steganogramm auch Informationen über Einbettungsprogramme, denn die gibt es ja im Internet, meist sogar als Freeware und mit Quellcode. Ein Angreifer kennt dann den Algorithmus, jedoch nicht ein vereinbartes Passwort, mit dem der extrahierte Text lesbar wird. Uns geht es zunächst erst einmal darum, in einem Bild oder in einem Musikstück mit einfachen Mitteln eingebettete Bits nachzuweisen. Gelingt das trotz versteckter Nachricht nicht, dann spricht das für die Steganographie-Anwendung. Zwei Angriffsstrategien reichen dabei als Test aus: der visuelle und der statistische Angriff [2]. Seite 14

15 3.2.1 Visuelle Angriffe Der visuelle Angriff entstand aus einem Internet-Rätsel, das mittlerweile Kultstatus hat: Ein Hacker mit Pseudonym +ORC (Old Red Cracker) hinterließ seine Kontaktadresse durch ein Bild, auf dem fünf Matroschkas zu sehen sind [3] und gab der Hackergemeinde die Aufgabe, diese Information zu finden. Somit war die bislang unentdeckte Nachricht in den fünf Matroschkas in Abbildung 8 die Initialzündung für den visuellen Angriff; es existieren umfangreiche Abhandlungen im Internet, wofür diese fünf Matroschkas stehen könnten: Strichcodes, Herkunftsland, IP-Adresse. Möglicherweise verbirgt sich aber auch eine steganographische Nachricht in diesem Bild. Wenn wirklich eine Nachricht auf diese Weise eingebettet ist, dann würde die bildliche Darstellung der Nachricht eher wie auf der rechten Darstellung aussehen. Abbildung 8: Der Rätzel um die in den fünf Matroschkas versteckte Nachricht beibt ungelöst. Mitte: Die mit S-Tools ausgelesene vermeintliche Nachricht zeigt wieder Matroschkas. Rechts: Bsp. einer Bilddatei mit versteckten Daten nach der Subtraktion der Träger- und Originaldatei (Filterung). Quelle: c t [2]. Selbst wenn keine Nachricht eingebettet wurde, so können doch die meisten steganographischen Algorithmen irgendwelche Bits auslesen (sonst könnten wir mit ihnen leicht entscheiden, ob eine versteckte Nachricht vorhanden ist). Doch alle möglichen Versuche, mit gängigen Algorithmen den Matroschkas ihre Nachricht zu entlocken, führten zu langen Zeichenfolgen, die weder lesbare Information enthalten noch verschlüsselt wirken. Stellt man diese Bitfolgen als Bild dar, dann erkennt man grobe Strukturen der Matroschkas. Wenn dagegen wirklich etwas drin steckt, dann würde die Bilddarstellung der eingebetteten Nachricht wie ein gleichmäßig über das Bild verteiltes Farbmuster aussehen oder eines, das am Anfang des Bildes anfängt und dann unvermittelt aufhört, wenn die Nachricht nicht gleichmäßig eingebettet ist. Damit hat man den Schlüssel zur visuellen Angriffsstrategie: Für die meisten steganographischen Algorithmen lässt sich ein solcher visueller Filter bauen, der zuerst die Nachricht ausliest (die durchaus verschlüsselt sein darf) und diese dann bildlich Seite 15

16 anhand des Steganogramm-Bildes darstellt. Für die Konstruktion des Filters ist es dabei natürlich hilfreich, wenn der Quelltext der Extraktionsfunktion bekannt ist. Oft reicht es aber schon, wenn wir ein unverändertes Trägermedium und das daraus erzeugte Steganogramm vergleichen (über Subtraktion z. B. mittels Paint Shop Pro), um auf den Algorithmus zu schließen. Der Filter für den visuellen Angriff ahmt in diesem Fall einfach die Extraktion nach. Da er nur untersucht, ob die extrahierten Bits vom Bildinhalt abhängen, fällt selbst eine mögliche PGP-Verschlüsselung der Nachricht nicht ins Gewicht. Durch den visuellen Angriff wird die vermutete steganographische Information maximal von der Bildinformation des Trägermediums getrennt: Ein Blick mit dem bloßem Auge reicht, um zu beurteilen, ob es sich um die Bildstruktur des Trägermediums oder um eine steganographische Nachricht handelt. Wenn ein solches Restbild dem ursprünglichen Bildinhalt ähnelt, dann wurde mit dem betreffenden Algorithmus nichts eingebettet. Hat es mit dem Bildmotiv nichts zu tun, dann könnte ein Steganogramm vorliegen. Das Verfahren ist zugegeben simpel, aber äußerst erfolgreich, um Steganographie-Programme zu beurteilen. Für Angriffe auf Audio-Dateien gilt das Gleiche wie für Bilder: Wenn beim auditiven Angriff `Restmusik zu hören ist, dann können wir einen steganographischen Inhalt sicher ausschließen. Andernfalls hilft der statistische Angriff weiter Statistische Angriffe Dem visuellen Angriff sind Grenzen gesetzt. Schon allein wenn im Bild des Trägermediums keine klare Struktur zu erkennen ist, löst er einen Fehlalarm aus: Eine graue Fläche mit farbigen Sprengseln lässt kein Bildmotiv erkennen, selbst wenn nichts eingebettet ist. Alle adaptiven Algorithmen (Einbettung abhängig vom Bildinhalt) sind außerdem genauso sicher vor visuellen Angriffen wie Algorithmen, die verlustbehaftet komprimierte Trägermedien wie JPEG verwenden. In diesem Fall hilft der so genannte statistische Angriff weiter, denn er ist nicht auf den Bildinhalt angewiesen, sondern beurteilt allein die Farbverteilung in einer Bilddatei. Man nehme dazu Farbwerte, die sich nur im letzten Bit unterscheiden (etwa Seite 16

17 und ) und zähle, wie oft sie im Bild vertreten sind. In einem sauberen Bild kommen die beiden Farbwerte eines solchen Pärchens unterschiedlich häufig vor. Wenn der steganographische Algorithmus aber nun zum Beispiel die niederwertigsten Bits der Farbwerte verändert, um eine Nachricht einzubetten, so entstehen Pärchen mit veränderter Statistik, und zwar so, dass sich die verschiedenen Häufigkeiten angleichen, zum Beispiel dann, wenn ähnlich viele Einsen wie Nullen eingebettet werden. Dies weist der statistische Angriff nach. Durch geschickte statistische Auswertung (siehe Kasten) kann man sogar auf das Originalbild verzichten - es genügt das Steganogramm. Damit hat man ein leistungsfähiges Werkzeug in der Hand, um Nachrichten aufzuspüren oder eben um Anwendungen zu testen. Auch hier darf die Botschaft durchaus verschlüsselt sein. Statistische Verteilung der Farbwerte Der statistische Angriff untersucht die Verteilung der Farbwerte in einem Steganogramm. Der Einfachheit halber sollen die Bits der einzubettenden Nachricht gleich verteilt sein, also den Wert 0 und 1 gleich häufig enthalten, wie es zum Beispiel bei einer optimalen Verschlüsselung der Fall sein sollte. Abbildung 9: Histogramme der mit Excel berechneten Häufigkeitsverteilungen. Links: Typische Farbverteilung eines Bildes. Rechts: Verteilung nach dem Einbetten einer Nachricht. Quelle: c t [2]. Der Test in der kleinen Tabellenkalkulation in Abbildung 10 bezieht sich auf die beiden Histogramme in Abbildung 9. Das Histogramm links zeigt eine typische Farbverteilung eines Bildes, das rechts die Verteilung nach dem Einbetten einer Nachricht. Seite 17

18 Abbildung 10: Untersuchung der Verteilungen der Farbwerte unter Excel durch Verwendung des sogenannten Chi-Quadrat-Tests (χ 2 ). Quelle: c t [2]. In Spalte A sind die Häufigkeiten der Farben vor dem Einbetten, in Spalte C die Werte nach dem Einbetten einer Nachricht zu sehen. Die Verteilung der erwarteten Werte (Mittelwerte in den Spalten B und D) ändert sich durch das Einbetten nicht. Die Verteilung der Häufigkeiten wird mit den Mittelwerten verglichen. Der Vergleich erfolgt hier durch den Chi-Quadrat-Test (mit der Excel-Funktion chitest). In B7 gibt der Test die Einbettungswahrscheinlichkeit für das unveränderte Trägermedium an (nahezu 0), in D7 für das Steganogramm (fast 1). Fassen wir die eine Pärchenhälfte aller Pärchen (z. B. L) zu einer Verteilung zusammen, dann können wir durch einen Vergleich mit der Verteilung der Mittelwerte (L+R)/2 feststellen, ob eingebettet wurde. Der steganographische Algorithmus verändert diese Mittelwerte nicht. Aus diesem Grund kann auf den Vergleich mit dem Trägermedium verzichtet werden, was ein entscheidender Vorteil für den Angreifer ist: Ihm genügt das potenzielle Steganogramm. 3.3 Möglichkeiten des Angreifers Visueller und statistischer Angriff testen, wie geschickt eine Anwendung Daten in Trägermedien einbringt. Sie taugen aber weniger dafür, den Programmen zu entlocken, wie sie diese Geheiminformation verstecken. Bei einigen von ihnen liegt der Quellcode offen. Bei anderen kann man die algorithmischen Eigenschaften nur indirekt durch aufschlussreiche Testdateien ermitteln: Der Test beginnt mit einem Weißbild als gewissermaßen pathologischem Trägermedium. Das Einbetten hinterlässt seine Spuren im Bild wie in frischem Schnee. Diese primitive Methode führt erstaunlich weit, denn die überwiegende Mehrheit der Algorithmen ist sehr einfach gestrickt. Seite 18

19 Nachrichtenspuren in einem rein weißen Testbild kann manchmal schon die Auto- Contrast-Funktion in der Bildbearbeitung hervorheben. Ein unverändertes Weißbild bleibt dagegen unabhängig von der Kontrasteinstellung weiß (siehe Abb. 11). Die Spuren im Weißbild sind zunächst nicht mit bloßem Auge wahrnehmbar, sonst würde der Algorithmus die Bezeichnung steganographisch nicht verdienen. Sie können aber mit Standard-Bildbearbeitungs-Software (GIMP, Photoshop oder Paint Shop Pro) sichtbar gemacht werden, indem einfach der Kontrast maximiert wird oder, falls das Originalfoto bereitsteht, durch Subtraktion der beiden Darstellungen. Abbildung 11: Auto-Contrast-Funktion bei Adobe Photoshop und Ergebnis. Quelle: c t [2]. Auf einen Schlag ist sichtbar, ob die Nachricht oben oder unten im Bild anfängt, ob die Änderungen gleichmäßig über das Bild verteilt werden oder welche farblichen Anteile verändert werden. Manchmal ist bei Indexfarbenbildern gar keine Veränderung auf diese Weise wahrnehmbar: Zwei verschiedene Indizes mit unterschiedlichen steganographischen Werten erscheinen dann farblich exakt gleich. Mit dem visuellen und dem anspruchsvolleren statistischen Angriff, unterstützt vom simplen Trick des Weißbildes oder derr Bildsubtraktion, können steganographische Programme unter die Lupe genommen werden. Die Strategie ist immer gleich und beginnt mit einer Analyse des Algorithmus. Bei offen gelegtem Quellcode ist das ein Kinderspiel. Ohne Sourcen muss das Weißbild bzw. die Bilddifferenz die Information liefern, um anhand der Spuren auf den Algorithmus zu schließen. Wenn der Algorithmus nicht adaptiv ist, sich also nicht an den Bildinhalt anpasst, dann wird ein Seite 19

20 visueller Angriff durchgeführt (andernfalls ist er erfolglos). Zum Abschluss kommt der wesentlich mächtigere statistische Angriff an die Reihe. Er ist besonders dann erfolgreich, wenn die Algorithmen hinreichend gierig sind und besonders viel Information durch Überschreiben der Bits einbetten wollen. Die Geheimhaltung des Quellcodes kann mögliche Angriffe nur hinauszögern. Bei offen gelegtem Quelltext ist die sicherheitstechnische Untersuchung einfacher, d. h. mögliche Angriffe werden schneller entdeckt und veröffentlicht. Die Anwender sollten eher einem öffentlichen Algorithmus trauen, der schon einige Jahre ohne Angriff überlebt hat, als einem geheim gehaltenen, der genauso alt ist. Bislang gibt es aber für beide Fälle kaum Beispiele: Ein Dritter kann den statistischen Angriff automatisieren und somit eine große Zahl von Trägermedien automatisch scannen. Ziel unseres Tests ist deshalb, solche Programme zu finden, die die Angriffe überleben. 3.4 Fazit der Untersuchung verschiedener Programme Es gibt eine wachsende Zahl von steganographischen Programmen im Internet, von denen fast alle am visuellen oder statistischen Angriff scheitern. Unter den betagteren Programmen finden sich einige wie Jsteg oder White Noise Storm, die in komprimierte Trägermedien (JPEG, PCX) einbetten und deshalb immerhin nicht visuell angreifbar sind. Bei den Programmierern sollte sich mittlerweile herumgesprochen haben, dass das Überschreiben niederwertigster Bits keine empfehlenswerte Operation für Steganographie ist und der Vergangenheit angehört. Dennoch kann der statistische Test die Mehrzahl der untersuchten Tools nachweisen. Mildernde Umstände gelten allerdings, wenn diese die Nachricht über das gesamte Trägermedium verstreuen, denn durch diese Spreizung kann die Einbettungsrate kontinuierlich auf Null gesteuert werden. Der statistische Angriff kommt dann an seine Grenzen, wenn die einzubettende Information weniger als 6 bis 12 Prozent der maximalen Kapazität beträgt, das ist etwa 1 Prozent der Gesamtdatei. Bespiele dafür sind Steganos und S-Tools. Es ist letzten Endes immer die Frage, vor wem die Nachricht verborgen werden soll, ob vor der kleinen Schwester oder vor Profis: Ein Steganogramm, bei dem welche Seite 20

21 Zielgruppe auch immer erkennt, dass Steganographie angewendet wurde, ist reine Bandbreitenverschwendung. Quantisierungsrauschen aber, wie es in JPEG- und MP3- Dateien vorhanden ist, bietet schon ein gutes Versteck, wie einige Applikationen zeigen. Seit die statistischen Angriffe bekannt sind, gibt es aber auch schon eine Reihe von Algorithmen mit wirksamen Gegenmaßnahmen, darunter die von F4, F5, JPHS und OutGuessgenutzten, bei denen ein Steganogramm bis zu 13 Prozent (knapp 1/8 der eigentlichen Trägerdateigröße) Geheiminformation enthalten kann. Diese Programme sind gegen alle bekannten Angriffe sicher und man sollte ihnen deshalb in Härtefällen den Vorzug geben, allerdings ist ihre Bedienung eher den Kommandozeilenfreunden vorbehalten. Noch immer gilt die Regel, dass ein Stegano-graphie-Programm entweder gut bedienbar oder sicher gegen bekannte Angriffe ist beides scheint sich momentan gegenseitig auszuschließen. Immerhin hat die Ausnahme JPHS schon eine grafische Bedienoberfläche. Wer übrigens immer noch rätselt, welche Botschaft Holbein im Bild am Anfang versteckt hat, sei jetzt erlöst: Beim Blick von schräg links unten auf das Bild wird der längliche Streifen auf dem Fußboden zum Totenschädel den beiden Herren prophezeite Holbein eine düstere Zukunft. Seite 21

22 4 Versuchsaufbau Mit diesem Versuch werden die bisher aufgezeigten Grundlagen vorgeführt. Dazu werden in diesem Versuch benötigt: - Zwei Trägerbilder (Formate: 1 x unkomprimiert, *.bmp, 1 x komprimiert, *.jpg), - ein Bild mit der zu übertragenden Information, - eine selbsterstellte Textdatei mit der zu übertragenden Information, - ein Graphik-Programm (Paint Shop Pro), - das Steganographie-Programm (Steganos 3.0). Im folgenden Kapitel werden weitere Informationen zum Steganographie-Programm Steganos vorgestellt. Das Steganographie-Programm Anfänglich war Steganos ein reines Steganographie-Tool, aber mittlerweile haben Programmierer um Fabian Hansmann die Anwendung zu einem umfassenden und leistungsfähigen Security-Paket weiterentwickelt (c't 5/01, S. 78). Steganos vernichtet auch Internetspuren und verschlüsselt Festplatten und s. Steganos hat sich zum umfassenden Security-Paket gemausert und bietet eine durchdachte Benutzerführung. Die steganographische Funktion und die Bedienfreundlichkeit pflegten die Demcom-Leute mit jeder neuen Version erfolgreich weiter: Steganos 3 ist neben F5 das einzige Programm, das die sog. Matrixkodierung anwendet. Der Test mit dem verstärkten Weißbild verrät, dass die Daten gespreizt werden, wobei in Abhängigkeit von der Bildgröße ein Streifen am oberen Bildrand ungenutzt bleibt. Ungespreizt landet am unteren Bildrand ein Statuswort, das rund 200 Bits umfasst. Es werden bis zu 3 Bits je Bildpunkt eingebettet. Der visuelle und statistische Angriff sind erfolgreich, wenn die Kapazität des Trägermediums zu mehr als 50 Prozent ausgenutzt wird. Sie scheitern sicher, wenn weniger als 7 Prozent der Kapazität genutzt werden und das Statuswort nicht gerade auf einer gleichmäßigen Fläche landet. 1 Weitere Steganographie-Programme sind: BlindSide; Invisible Secrets Pro 1.0; EzStego; GzSteg; Hide & Seek; HIP - Hide in Picture 1.1; Jsteg; OutGuess; JPHS; F4, F5; Piilo; Stash-it; Stegodos; Texto; Spam Mimic; Texthide; MandelSteg 1.0; S-Tools; Encrypt Pic 1.3; White Noise Storm; MP3Stego Seite 22

23 5 Aufgabenstellung im Versuch Nachdem in den vorhergehenden Kapiteln Grundlagen zur Steganographie, zu Techniken zum Verstecken von Informationen erläutert wurden, werdet ihr während des Laborversuchs mit dem Programm Steganos 3.0 bekannt gemacht und arbeiten. Ziel ist es, die zuvor gezeigten Möglichkeiten im Versuch umzusetzen. Im Laufe des Labors sollen folgende Aufgaben gelöst werden: a) Auswahl eines geeigneten Bildes als Träger b) Erzeugen eines Textfiles, der zur Verschlüsselung dient, bzw. der versteckt werden soll c) Verstecken einer Bilddatei in die Trägerdatei und diese mit einem Passwort sichern d) Verstecken der Textdatei in die Trägerdatei und diese mit einem Passwort sichern e) Gegebenenfalls Passwort mit PGP verschlüsseln und übergeben f) Versteckte Informationen wieder aus der Trägerdatei holen g) Trägerdatei auf ihr Inhalt mit Hilfe von Pait Shop Pro hin untersuchen h) In Steganos 3.0 den Steganos Suite Safe aufrufen und Dateien in dem gesicherten Datenbankbereich ablegen i) Den Shredder von Steganos 3.0 zum Vernichten von Spuren benutzen Dieser Laborversuch wird, wie Versuch 1, am Beamer/Overheadprojektor vorgeführt. Zeitgleich wird die Möglichkeit gegeben, in Dreiergruppen am Rechner die behandelten Fragen nachzuvollziehen. Seite 23

24 Literatur Quellen [1] Siehe auch: w ww.gnupg.org / w ww.pgpi.org [2] c't 2001, Heft 9, Seite 170 [3] Zu +ORC und sein Matroschka-Rätsel siehe auch: w ww.home.aone.net.au/byzantium/preamble.html [4] Westfeld, A.: Prinzipien sicherer Steganographie. Dresden : Dissertation, TU Dresden, Weitere Informationen unter: w ww.inf.tu-dresden.de/~aw4/publikationen.html Information zu dieser Ausarbeitung Diese Ausarbeitung wurde im Februar 2002 unter Verwendung der in der Literaturliste aufgeführten Quellen zum Zweck der Ausbildung der Studenten der Medieninformatik im Labor Sicherheit in der Informationstechnik an der Fachhochschule Gießen- Friedberg von G. Varvelli im Auftrag fertiggestellt. Zitierte Passagen sind nicht explizit gekennzeichnet. Seite 24