31
Steganographie/ Steganographie/ Steganalyse Steganalyse Informationsextraktion aus Informationsextraktion aus beschlagnahmten Rechnern beschlagnahmten Rechnern Seminar: Netzwerk, Seminar: Netzwerk, Betriebssystem- und Betriebssystem- und Mediensicherheit Mediensicherheit 10.12.2002 10.12.2002 Sebastian Stober Sebastian Stober Sebastian. Stober @web.de Otto-von-Guericke- Otto-von-Guericke- Universität Magdeburg Universität Magdeburg

Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Embed Size (px)

Citation preview

Page 1: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Steganographie/SteganalyseSteganographie/SteganalyseInformationsextraktion aus beschlagnahmten RechnernInformationsextraktion aus beschlagnahmten Rechnern

Seminar: Netzwerk, Betriebssystem- Seminar: Netzwerk, Betriebssystem- und Mediensicherheitund Mediensicherheit

10.12.200210.12.2002

Sebastian StoberSebastian [email protected]

Otto-von-Guericke-Universität Otto-von-Guericke-Universität MagdeburgMagdeburg

Page 2: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 22

ÜbersichtÜbersicht

Stego vs. KryptoStego vs. Krypto SteganographieSteganographie Zerstörung versteckter InformationenZerstörung versteckter Informationen SteganalyseSteganalyse

– 8-Bit- / Graustufen- / Monochrom-Bilder8-Bit- / Graustufen- / Monochrom-Bilder– JPEGsJPEGs

eine Beispiel-Attackeeine Beispiel-Attacke Zusammenfassung / QuellenZusammenfassung / Quellen

Page 3: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 33

Krypto vs. StegoKrypto vs. Stego

KryptographieKryptographie– Verschlüsseln von Informationen, so daß diese Verschlüsseln von Informationen, so daß diese

für einen Unbefugten nicht lesbar sindfür einen Unbefugten nicht lesbar sind SteganographieSteganographie

– gr. „verdeckte Kommunikation“gr. „verdeckte Kommunikation“– Verstecken und Übermitteln von Informationen Verstecken und Übermitteln von Informationen

in einem unverdächtigen Trägerin einem unverdächtigen Träger– Ziel: Existenz einer Kommunikation verbergenZiel: Existenz einer Kommunikation verbergen

meist Kombination von beidenmeist Kombination von beiden

Page 4: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 44

Krypto vs. Stego (2)Krypto vs. Stego (2)

KyptoanalyseKyptoanalyse– versucht codierte Informationen zu decodierenversucht codierte Informationen zu decodieren

SteganalyseSteganalyse– versucht, versteckte Informationen zuversucht, versteckte Informationen zu

» entdeckenentdecken

» extrahierenextrahieren

» zerstören (d.h. unbrauchbar zumachen)zerstören (d.h. unbrauchbar zumachen)

Page 5: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 55

Steganographie vs. WatermarkingSteganographie vs. Watermarking

SteganographieSteganographie– große Blöcke von Informationengroße Blöcke von Informationen

WatermarkingWatermarking– wenig Informationwenig Information– meist redundant über den ganzen Träger verteiltmeist redundant über den ganzen Träger verteilt

robusterrobuster

Page 6: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 66

Ansatz der SteganographieAnsatz der Steganographie

C = p + tC = p + t C – Träger (Cover)C – Träger (Cover) p – wahrnehmbarer (perceptible) Anteilp – wahrnehmbarer (perceptible) Anteil

– sollte nach Möglichkeit nicht verändert werden sollte nach Möglichkeit nicht verändert werden t – transparenter Anteilt – transparenter Anteil

– kann versteckte Informationen aufnehmenkann versteckte Informationen aufnehmen

Cover Medium(Träger)

Stegokey (Paßwort)

zu versteckende Nachricht

Stego-Objekt(Träger mit der

versteckten Nachricht)Stego-Tool

Page 7: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 77

Beispiele für SteganographieBeispiele für Steganographie

unsichtbare Tinten unsichtbare Tinten null ciphers (open codes)null ciphers (open codes) microdotsmicrodots

– neue Entwicklung: „genomic steganography“neue Entwicklung: „genomic steganography“ Digital, z.B. Digital, z.B.

– BilderBilder– Audio/VideodateienAudio/Videodateien– ungenutzter Speicherplatz (HD / FD / Header)ungenutzter Speicherplatz (HD / FD / Header)

Page 8: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 88

Techniken zur Zerstörung Techniken zur Zerstörung versteckter Informationenversteckter Informationen

Stego-Objekte nicht abfangen sondern nur die Stego-Objekte nicht abfangen sondern nur die versteckte Information unbrauchbar (unlesbar) versteckte Information unbrauchbar (unlesbar) machenmachenaktive Attacke im Gegensatz zum passiven Erkennenaktive Attacke im Gegensatz zum passiven Erkennen

Möglichkeiten der StörungMöglichkeiten der Störung– verlustbehaftete Komprimierung wie z.B. JPEGverlustbehaftete Komprimierung wie z.B. JPEG– blur, noise, noise reduction, sharpen, rotate, resample, blur, noise, noise reduction, sharpen, rotate, resample,

softensoften Überschreiben der versteckten Information:Überschreiben der versteckten Information:

C = p + t C = p + t C* = p + t*C* = p + t* kein wahrnehmbarer Unterschied zwischen C und C*kein wahrnehmbarer Unterschied zwischen C und C*

Page 9: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 99

Trade-Off zwischen Kapazität, Trade-Off zwischen Kapazität, Unerkennbarkeit und RobustheitUnerkennbarkeit und Robustheit

Unerkennbarkeit Robustheit

Kapazität

Sichere steganographischeTechniken

Digitale Wasserzeichen

Naive Steganographie

Page 10: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1010

Steganalyse-AttackenSteganalyse-Attacken

stego-only attackstego-only attack– nur das Stego-Objekt ist für die Analyse bekanntnur das Stego-Objekt ist für die Analyse bekannt

known cover attackknown cover attack – das ursprüngliche Cover-Objekt und das Stego-Objekt das ursprüngliche Cover-Objekt und das Stego-Objekt

sind bekanntsind bekannt known message attackknown message attack

– die versteckte Nachricht (bzw. ein Teil davon) ist die versteckte Nachricht (bzw. ein Teil davon) ist bekannt bekannt

– untersuche das Stego-Objekt nach korrespondierenden untersuche das Stego-Objekt nach korrespondierenden Mustern (sehr schwierig und nahezu äquivalent zur Mustern (sehr schwierig und nahezu äquivalent zur stego-only attack)stego-only attack)

Page 11: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1111

Steganalyse-Attacken (2)Steganalyse-Attacken (2)

chosen stego attackchosen stego attack– das Steganographie-Tool (bzw. der Algorithmus) und das Stego-das Steganographie-Tool (bzw. der Algorithmus) und das Stego-

Objekt sind bekanntObjekt sind bekannt

chosen message attackchosen message attack– es wird mit Hilfe eines Algorithmus oder eines Steganographie-es wird mit Hilfe eines Algorithmus oder eines Steganographie-

Tools ein Stego-Objekt aus einer gewählten Nachricht erzeugtTools ein Stego-Objekt aus einer gewählten Nachricht erzeugt

– versuche, übereinstimmende Muster mit dem originalen Stego-versuche, übereinstimmende Muster mit dem originalen Stego-Objekt zu finden (und damit einen Hinweis auf den verwendeten Objekt zu finden (und damit einen Hinweis auf den verwendeten Algorithmus bzw. das Steganographie-Tool)Algorithmus bzw. das Steganographie-Tool)

known stego attackknown stego attack– der Algorithmus bzw. das Steganographie-Tool ist verfügbar und der Algorithmus bzw. das Steganographie-Tool ist verfügbar und

beide Objekte sind bekanntbeide Objekte sind bekannt

Page 12: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1212

Techniken zum Entdecken von Techniken zum Entdecken von versteckter Informationversteckter Information

Durch versteckte Information: Verzerrung der Durch versteckte Information: Verzerrung der ursprünglichen Eigenschaften des Bildesursprünglichen Eigenschaften des Bildes– Verfälschung (corruption), Rauschen (noise), starke Verfälschung (corruption), Rauschen (noise), starke

Farbunterschiede bei benachbarten PixelnFarbunterschiede bei benachbarten Pixeln– Pixelumgebungen untersuchen Pixelumgebungen untersuchen

» feststellen, ob Pixel einem Muster folgt oder einem Rauschen feststellen, ob Pixel einem Muster folgt oder einem Rauschen ähneltähnelt

– Untersuchen der Farbpalette (falls vorhanden) und der Untersuchen der Farbpalette (falls vorhanden) und der Helligkeiten (Luminance)Helligkeiten (Luminance)

viele Tools erzeugen Stego-Bilder mit viele Tools erzeugen Stego-Bilder mit charakteristischen Eigenschaften charakteristischen Eigenschaften SignaturenSignaturen

Page 13: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1313

Idee: offensichtliche, sich Idee: offensichtliche, sich wiederholende Muster erkennen wiederholende Muster erkennen

durch Vergleich von Cover und Stego-Bild:durch Vergleich von Cover und Stego-Bild:– known-cover-attackknown-cover-attack

– chosen-message-attackchosen-message-attack

bei Anwendung auf eine große Menge von bei Anwendung auf eine große Menge von Bildern Bildern

– Signaturen für Signaturen für a)a) die Existenz einer versteckten Nachrichtdie Existenz einer versteckten Nachricht

b)b) Hinweis auf verwendetes ToolHinweis auf verwendetes Tool

Aufbauen einer Knowledge-BaseAufbauen einer Knowledge-Base

Page 14: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1414

8-Bit RGB und 8-Bit RGB und Graustufen/Monochrom-BilderGraustufen/Monochrom-Bilder

Möglichkeiten der KodierungMöglichkeiten der Kodierung– in der Farbpalettein der Farbpalette

» Anordnung der Werte oder im LSBAnordnung der Werte oder im LSB

wenig Platz und leicht zu zerstörenwenig Platz und leicht zu zerstören

– in den Bildpunkten (Referenzen auf Farbpalette)in den Bildpunkten (Referenzen auf Farbpalette)» Farben nach Häufigkeit geordnet - kleine Veränderungen der Farben nach Häufigkeit geordnet - kleine Veränderungen der

Farb-ID können zu großen Veränderungen in der Farbe führenFarb-ID können zu großen Veränderungen in der Farbe führen

Palette muß sortiert werden oder Palette muß sortiert werden oder

Verringerung der Farbanzahl (auf z.B. 32) und Erweiterung Verringerung der Farbanzahl (auf z.B. 32) und Erweiterung um bis zu 8 benachbarter Farbenum bis zu 8 benachbarter Farben

» kaum visuelle Veränderung, aber verräterische Palettekaum visuelle Veränderung, aber verräterische Palette

Page 15: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1515

Ein verdächtiges BildEin verdächtiges Bild

Auswirkungen auf das Bildrauschen bei der Auswirkungen auf das Bildrauschen bei der Anwendung von „Hide and Seek“Anwendung von „Hide and Seek“

(cover) (stego-objekt)

Page 16: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1616

Palette-Signatur: S-ToolsPalette-Signatur: S-Tools

Erkennung:Erkennung:

– Sortierung der Palette nach Luminance (Helligkeit)Sortierung der Palette nach Luminance (Helligkeit)

(cover) (stego-objekt)

Page 17: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1717

Palette-Signatur: Hide and SeekPalette-Signatur: Hide and Seek

Version 4.1 und 5.0 (GIF-Format)Version 4.1 und 5.0 (GIF-Format)– alle RGB-Farbwerte sind durch 4 teilbaralle RGB-Farbwerte sind durch 4 teilbar– bei Graustufenbildern hat Weiß den Wert (252,252,252)bei Graustufenbildern hat Weiß den Wert (252,252,252)

– Einschränkung der BildgrößeEinschränkung der Bildgröße

4.14.1 : 320x480 : 320x480 – kleiner: Auffüllen mit schwarzen Rändernkleiner: Auffüllen mit schwarzen Rändern– größer: Croppinggrößer: Cropping

5.05.0 : 320x200, 320x400, 320x480, 640x400, 1024x768 : 320x200, 320x400, 320x480, 640x400, 1024x768 – kleiner/größer: Auffüllen bis zur nächstgrößten Größekleiner/größer: Auffüllen bis zur nächstgrößten Größe

Nachricht wird auch in den schwarzen Bereich eingebettet !!!Nachricht wird auch in den schwarzen Bereich eingebettet !!!1.0 für Win95 (BMP-Format)1.0 für Win95 (BMP-Format)

– keine Größenbeschränkung, max. 256 Farbenkeine Größenbeschränkung, max. 256 Farben

Page 18: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1818

Versteckte Informationen im Versteckte Informationen im JPEG - FormatJPEG - Format

JPEG nutzt eine diskrete Cosinus Transformation JPEG nutzt eine diskrete Cosinus Transformation (DCT) um 8x8 Blocks des Bildes in jeweils 64 (DCT) um 8x8 Blocks des Bildes in jeweils 64 DCT-Koeffizienten zu transformierenDCT-Koeffizienten zu transformieren

versteckte Information wird in die LSB der DCT-versteckte Information wird in die LSB der DCT-Koeffizienten kodiertKoeffizienten kodiert Änderung eines DCT-Koeffizienten beeinflußt alle 64 Änderung eines DCT-Koeffizienten beeinflußt alle 64

Pixel des BlocksPixel des Blocks die Veränderung findet hier im Frequenzbereich die Veränderung findet hier im Frequenzbereich

stattstatt keine visuellen Attackenkeine visuellen Attacken

Page 19: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 1919

Ansatz: Statistische AnalyseAnsatz: Statistische Analyse

Idee: Bilder mit versteckten Daten haben eine Idee: Bilder mit versteckten Daten haben eine höhere Entropiehöhere Entropie– 1- und 0-Bit sind gleich wahrscheinlich1- und 0-Bit sind gleich wahrscheinlich

– beim Einbetten von versteckter Information:beim Einbetten von versteckter Information: „ „10“ 10“ „11“ kommt öfter vor als „11“ „11“ kommt öfter vor als „11“ „10“ „10“

Differenz der DCT-Koeffizienten-Häufigkeiten von "10" und Differenz der DCT-Koeffizienten-Häufigkeiten von "10" und "11" wurde reduziert"11" wurde reduziert

Chi-Quadrat-TestChi-Quadrat-TestSignaturenSignaturen

nähere Infos in [5]nähere Infos in [5]

Page 20: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2020

Veränderung der Verteilung der Veränderung der Verteilung der DCT-KoeffizientenDCT-Koeffizienten

aus [3], Niels P

rovos & P

eter H

oneyman

Page 21: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2121

Beispiel: OutguessBeispiel: Outguess

entwickelt von Neils Provos (Entwickler von entwickelt von Neils Provos (Entwickler von Stegdetect)Stegdetect)

Kontra zur statistischen Chi-Quadrat-AttackeKontra zur statistischen Chi-Quadrat-Attacke 1. Pass:1. Pass:

– gehe per Pseudo-Zufallszahlen (initialisiert durch gehe per Pseudo-Zufallszahlen (initialisiert durch Paßwort) durch die DCT-Koeffizienten und verändere Paßwort) durch die DCT-Koeffizienten und verändere die LSBsdie LSBs

2. Pass:2. Pass:– Korrekturen an den KoeffizientenKorrekturen an den KoeffizientenAnpassung des Stego-Bild-Histogramms an das des Anpassung des Stego-Bild-Histogramms an das des

Original-CoversOriginal-Covers

Page 22: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2222

Angriffe gegen Outguess:Angriffe gegen Outguess:

ältere Version (0.13b):ältere Version (0.13b):– verallgemeinerte Chi-Quadrat-Attackeverallgemeinerte Chi-Quadrat-Attackeerkennt nicht Outguess 0.2 (neuste Version 2.Okt.2001)erkennt nicht Outguess 0.2 (neuste Version 2.Okt.2001)

neue Idee:neue Idee:– kodiere eine neue versteckte Nachricht in das Stego-kodiere eine neue versteckte Nachricht in das Stego-

ObjektObjektandere Auswirkungen, als auf das Original-Coverandere Auswirkungen, als auf das Original-Cover– Original-Cover wird angenähert durch Cropping von 4 Original-Cover wird angenähert durch Cropping von 4

Pixeln und Rekomprimieren des Stego-BildesPixeln und Rekomprimieren des Stego-Bildes nähere Informationen in [4]nähere Informationen in [4]

Page 23: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2323

Eine Beispiel-AttackeEine Beispiel-Attacke

Daten aus [3] Neils Provos, Peter Honeyman: Daten aus [3] Neils Provos, Peter Honeyman: "Detecting Steganographic Content on the Internet", Februar 2002"Detecting Steganographic Content on the Internet", Februar 2002

Suche in eBay und USENET nach JPEGs, die Suche in eBay und USENET nach JPEGs, die versteckte Informationen enthaltenversteckte Informationen enthalten

Angriff auf die Tools: Angriff auf die Tools: – JSteg (Shell) JSteg (Shell) – JPHideJPHide– Outguess 0.13bOutguess 0.13b

verwendetes Tool: Stegdetect (Neils Provos) verwendetes Tool: Stegdetect (Neils Provos) verwendet die Chi-Quadrat-Attackeverwendet die Chi-Quadrat-Attacke

Page 24: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2424

Eine Beispiel-Attacke (2)Eine Beispiel-Attacke (2)

nutzen eigenen Webcrawler "Crawl"nutzen eigenen Webcrawler "Crawl"– mehr als 2 Mio. Bilder aus eBay Auktionenmehr als 2 Mio. Bilder aus eBay Auktionen

– 1 Mio. Bilder aus einem USENET Archiv1 Mio. Bilder aus einem USENET Archiv

TestTest (False) Positives(False) Positives

eBayeBay USENETUSENET

JStegJSteg 0.003%0.003% 0.007%0.007%

JPHideJPHide 1%1% 2.1%2.1%

Outguess 0.13bOutguess 0.13b 0.1%0.1% 0.14%0.14%

wahrscheinlich größtenteils False Positiveswahrscheinlich größtenteils False Positives

Page 25: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2525

Eine Beispiel-Attacke (3)Eine Beispiel-Attacke (3)

um versteckten Inhalt nachzuweisen muß eine dictionary um versteckten Inhalt nachzuweisen muß eine dictionary attack durchgeführt werden attack durchgeführt werden Schlüssel ratenSchlüssel raten– verwendetes Tool: Stegbreakverwendetes Tool: Stegbreak

» angesetzt auf die als JPHide erkannten Bilderangesetzt auf die als JPHide erkannten Bilder» für eBay: 850.000 Wörter (verschiedene Sprachen)für eBay: 850.000 Wörter (verschiedene Sprachen)» für USENET: 1.800.000 Wörter (zusätzlich 4er PINs, kurze für USENET: 1.800.000 Wörter (zusätzlich 4er PINs, kurze

Phrasen)Phrasen)

– die Stego-Tools verwenden einen Header die Stego-Tools verwenden einen Header nutzbar zur Überprüfung des Paßwortesnutzbar zur Überprüfung des Paßwortes

– verwendete Rechenkraft:verwendete Rechenkraft:» eBay: Cluster mit 60 Knoten eBay: Cluster mit 60 Knoten 200.000 Wörter/s 200.000 Wörter/s» USENET: Cluster mit 130 Knoten USENET: Cluster mit 130 Knoten max. 870.000 Keys/s max. 870.000 Keys/s

Page 26: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2626

Eine Beispiel-Attacke (4)Eine Beispiel-Attacke (4)

Resultat: Resultat: Nicht eine versteckte Nachricht wurde gefunden!Nicht eine versteckte Nachricht wurde gefunden!

Mögliche Gründe:Mögliche Gründe:– Steganographie wird im Internet kaum verwendetSteganographie wird im Internet kaum verwendet– Es wurden Bilder aus Quellen untersucht, die nicht zur Es wurden Bilder aus Quellen untersucht, die nicht zur

Übermittlung steganographischen Inhaltes genutzt Übermittlung steganographischen Inhaltes genutzt werdenwerden

– Niemand verwendet die getesteten ToolsNiemand verwendet die getesteten Tools– Alle Nutzer der Tools verwenden vorsichtig Alle Nutzer der Tools verwenden vorsichtig

ausgewählte Paßwörter, die nicht durch eine dictionary ausgewählte Paßwörter, die nicht durch eine dictionary attack angreifbar sindattack angreifbar sind

Page 27: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2727

ZusammenfassungZusammenfassung

Das bloße Erkennen, daß eine versteckte Nachricht vorliegt, macht das Das bloße Erkennen, daß eine versteckte Nachricht vorliegt, macht das Ziel der Steganographie zunichte.Ziel der Steganographie zunichte.

Auf Kosten der Robustheit und der Kapazität läßt sich die Auf Kosten der Robustheit und der Kapazität läßt sich die Unsichtbarkeit erhöhen.Unsichtbarkeit erhöhen.

Vorausgesetzt ein Tool ist verfügbar, lassen sich oft Signaturen dafür Vorausgesetzt ein Tool ist verfügbar, lassen sich oft Signaturen dafür finden.finden.

Die Entdeckung von Schwächen führt zur Weiterentwicklung der Die Entdeckung von Schwächen führt zur Weiterentwicklung der Verfahren.Verfahren.

Neue Verfahren wie das von Outguess sind zwar angreifbar, jedoch Neue Verfahren wie das von Outguess sind zwar angreifbar, jedoch wird der Aufwand für die Detektoren zunehmend größer, so daß breite wird der Aufwand für die Detektoren zunehmend größer, so daß breite Attacken an der benötigten Rechenkraft scheitern können.Attacken an der benötigten Rechenkraft scheitern können.

Wird die Existenz einer verstecken Nachricht vermutet, muß diese Wird die Existenz einer verstecken Nachricht vermutet, muß diese jedoch noch extrahiert und oft noch dekodiert werden.jedoch noch extrahiert und oft noch dekodiert werden.

Page 28: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2828

QuellenQuellen

[1] Information Hiding: Steganography and Watermarking - Attacks and Countermeasures, [1] Information Hiding: Steganography and Watermarking - Attacks and Countermeasures,

Neil F. Johnson, Zoran Duric, Sushil Jajodia, Kluwer Academic Publishers, 2000. Neil F. Johnson, Zoran Duric, Sushil Jajodia, Kluwer Academic Publishers, 2000.

ISBN: 0-79237-204-2, , Hardcover, approx. 200 pagesISBN: 0-79237-204-2, , Hardcover, approx. 200 pages

Homepage of Neil F. Johnson: http://www.jjtc.comHomepage of Neil F. Johnson: http://www.jjtc.com

[2] Steganalysis of Images Created Using Current Steganography Software,[2] Steganalysis of Images Created Using Current Steganography Software,

Neil F. Johnson and Sushil JajodiaNeil F. Johnson and Sushil Jajodia

http://www.jjtc.com/ihws98/jjgmu.htmlhttp://www.jjtc.com/ihws98/jjgmu.html

[3] Detecting Steganographic Content on the Internet,[3] Detecting Steganographic Content on the Internet,

Niels Provos and Peter Honeyman, ISOC NDSS'02, San Diego, CA, February 2002.Niels Provos and Peter Honeyman, ISOC NDSS'02, San Diego, CA, February 2002.

http://www.citi.umich.edu/techreports/reports/citi-tr-01-11.pdfhttp://www.citi.umich.edu/techreports/reports/citi-tr-01-11.pdf

Homepage of Niels Provos: http://www.citi.umich.edu/u/provos/Homepage of Niels Provos: http://www.citi.umich.edu/u/provos/

Homepage of Outguess amd Stegdetect: http://www.outguess.orgHomepage of Outguess amd Stegdetect: http://www.outguess.org

Page 29: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 2929

Quellen (2)Quellen (2)

[4] Attacking the OutGuess, [4] Attacking the OutGuess,

J. Fridrich, M. Goljan and D. Hogea, Proc.of the ACM Workshop on Multimedia andJ. Fridrich, M. Goljan and D. Hogea, Proc.of the ACM Workshop on Multimedia and

Security 2002, Juan- les-Pins, France, December 6, 2002Security 2002, Juan- les-Pins, France, December 6, 2002

http://www.ssie.binghamton.edu/fridrich/publications.htmlhttp://www.ssie.binghamton.edu/fridrich/publications.html

[5] Practical Steganalysis - State of the Art, [5] Practical Steganalysis - State of the Art,

J. Fridrich, M. Goljan, Proc. SPIE Photonics West, Vol. 4675, Electronic Imaging 2002, J. Fridrich, M. Goljan, Proc. SPIE Photonics West, Vol. 4675, Electronic Imaging 2002,

Security and Watermarking of Multimedia Contents, San Jose, California, January, 2002, Security and Watermarking of Multimedia Contents, San Jose, California, January, 2002,

pp. 1-13. pp. 1-13.

http://www.ssie.binghamton.edu/fridrich/publications.htmlhttp://www.ssie.binghamton.edu/fridrich/publications.html

[6] Applications of Data Hiding in Digital Images, [6] Applications of Data Hiding in Digital Images,

Tutorial (PowerPoint slides) for The ISSPA'99 Conference in Brisbane, Australia, Tutorial (PowerPoint slides) for The ISSPA'99 Conference in Brisbane, Australia,

August 22-25, 1999.August 22-25, 1999.

http://www.ssie.binghamton.edu/fridrich/publications.htmlhttp://www.ssie.binghamton.edu/fridrich/publications.html

Page 30: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Sebastian S

tober - Steganalyse 10.12.2002

Sebastian S

tober - Steganalyse 10.12.2002 3030

Quellen (3)Quellen (3)

[7] The Information Hiding Homepage:[7] The Information Hiding Homepage:

Digital Watermarking & SteganographyDigital Watermarking & Steganography

http://www.cl.cam.ac.uk/~fapp2/steganography/http://www.cl.cam.ac.uk/~fapp2/steganography/

[8] Software Sammlung[8] Software Sammlung

diverse Steganographie- und Steganalyse-Toolsdiverse Steganographie- und Steganalyse-Tools

http://www.StegoArchive.comhttp://www.StegoArchive.com

[9] Übersicht zum JPEG-Algorithmus[9] Übersicht zum JPEG-Algorithmus

www.nt.fh-koeln.de/fachgebiete/mathe/mmpdf/JPEG_8.pdfwww.nt.fh-koeln.de/fachgebiete/mathe/mmpdf/JPEG_8.pdf

Page 31: Steganographie/Steganalyse Informationsextraktion aus beschlagnahmten Rechnern Seminar: Netzwerk, Betriebssystem- und Mediensicherheit 10.12.2002 Sebastian

Vielen Dank für Ihre Vielen Dank für Ihre Aufmerksamkeit.Aufmerksamkeit.