Charla impartida por Alfonso Muñoz (UPM) el 27 de Octubre de 2008 en Getafe (Madrid) en la conferencia Asegúr@IT IV sobre técnicas esteganográficas y de estegoanálisis

1. Esteganografía 2.0 Universidad Politécnica de Madrid. Escuela de Ingeniería Técnica de Telecomunicación. Departamento de Ingenierías y Arquitecturas Telemáticas. UPM-EUITT-DIATEL. Pasado, Presente y Futuro de la ocultación de comunicaciones. Alfonso Muñoz Muñoz [email_address] Jornadas de Seguridad 2008. Facultad de Informática A Coruña. Oct 2008.

2. Conceptos Básicos. ESTEGO... QUEEEE!!!

3. Conceptos Básicos ... El término esteganografía, cuyo origen etimológico proviene de las palabras griegas “ Steganos ” (oculto) y “ Graphein ” (escribir) se puede traducir como “ escritura oculta ”. Los trabajos de Johannes Trithemius son considerados como influyentes en la evolución de la criptografía y la esteganografía. Define sistemas para ocultar mensajes secretos dentro de mensajes aparentemente inofensivos. El libro “Steganographia”, que tiene una apariencia de texto mágico o de brujería, tuvo una circulación reducida en el siglo XVI, concretamente en círculos privados, hasta que se publicó finalmente en 1606. En general, se traduce del término inglés “steganography” , que a su vez proviene del título del libro “Steganographia” , escrito por el abad alemán Johannes Trithemius (1462-1516) en 1499.

4. Lo clásico siempre vuelve ... Primeras referencias importantes a la esteganografía en el siglo V a.C. La obra “Histories” del historiador griego Herodoto r ecoge en sus crónicas los conflictos entre Grecia y Persia. Según Herodoto, fue la escritura oculta lo que permitió a los estados griegos evitar ser ocupada por una Persia opresora... Historia Histaiaeo afeitó la cabeza de un mensajero, y tatuó el mensaje en su cuero cabelludo esperando a continuación a que le volviera a crecer el pelo. Historia de Demerato . Demerato un griego que vivía en la ciudad Persa de Susa decidió avisar a Esparta que el rey persa Xerxes estaba planeando invadir Grecia. Para ello ingenio un mecanismo de comunicación que consistía en retirar la cera de un par de tablillas de madera, escribir la alerta de la proliferación militar en Persia y luego cubrir el mensaje con cera. Historia de Harpagus: El noble Harpagus transmitió una información a Cyrus, rey de Persia, indicándole que recibiría ayuda desde “dentro” para solucionar la opresión que sufría su país. Para ello vistió a un mensajero de cazador y le proporcionó una libre en cuyo vientre afeitado había escrito el mensaje a transmitir, oculto tras crecer el bello.

5. La tradición es la tradición. Tintas Invisibles. El naturalista, escritor y militar romano “ Plinio el Viejo ” refleja en su obra “ Historia Natural ” (siglo I d.c) cómo la “l eche” de la planta “Tithymallus ” podía usarse como tinta invisible. Una variación curiosa del concepto de tinta invisible apareció en el siglo XVI , cuando el científico italiano Giovanni Porta describió cómo esconder un mensaje dentro de un huevo cocido. Se conocen como “ tintas específicas ” aquellas que reaccionan idealmente a un único compuesto químico. Por ejemplo, l os espías nazis escribían mensajes en su pañuelo con una solución de sulfato de cobre, los cuales permanecían invisibles hasta que se exponían a vapores de amoniaco. Muchos fluidos orgánicos se comportan de manera similar (ricos en carbono). Es posible improvisar tinta invisible con leche, zumo de limón (en general, zumos de frutas), vinagre, vino, azúcar diluida o la propia orina... “ El proceso consistía en hacer una tinta con una mezcla de una onza de alumbre y una pinta de vinagre, y escribir el mensaje utilizando esta tinta sobre la cáscara. La solución penetra la cáscara porosa y deja un mensaje en la superficie de la albúmina del huevo duro, que sólo se puede leer si se pela el huevo...”

6. Tintas Invisibles en tiempos de guerra. A principios del siglo XX Alemania comienza a incrementar de forma considerable su poder militar, la fiebre del espionaje empieza a cobra fuerza en muchos países... El primer director del MI6, sir George Mansfield Smith-Cumming, creó un laboratorio especial para probar todas las técnicas existentes y creación de nuevas tintas invisibles, que pudieran facilitar la comunicación secreta y la detección de mensajes por sus agentes. Durante la I Guerra Mundial , los lugares para esconder materiales con tintas invisibles, como el papel, eran muy variados. Por ejemplo, los alemanes escondían la información en la suela de los zapatos, las bufandas o los calcetines. Durante la II Guerra Mundial, Alemanes y Estadounidenses solían comprobar que las cartas que caían en sus manos no contuvieran tinta invisible , lo cual era algo tedioso debido a la diversidad de tipos de tintas y sustancias que debían aplicar para invertirlas. Las técnicas de detección basadas en luz ultravioleta fue el mecanismo más socorrido. “ En las guerras no hay vencedores ni vencidos sólo muertos...”

7. PUNTO y seguido... Guerra Franco-Prusiana (1870-1871) . París y el emperador Napoleón III se encontraban sitiados, y sus canales de comunicación interrumpidos, se habilitaron una serie de mecanismos para enviar mensajes microfotografiados utilizando palomas mensajeras , aves con la capacidad de recorrer grandes distancias. La RFC 1149 (Request For Comments) - A Standard for the Transmission of IP Datagrams on Avian Carriers - refleja como poder establecer el protocolo de comunicación de Internet IP (Internet Protocol) utilizando palomas que transporten dicha información. Incluso su versión mejorada ( RFC 2549 ) - IP over Avian Carriers with Quality of Service- . En la II Guerra Mundial (y posteriormente en la Guerra Fría), apareció la técnica de ocultación conocida como “ micropunto ”. En las guerra Ruso-Japonesa (1905) los oficiales ocultaban imágenes microscópicas el lugares tan curiosos como los agujeros de la nariz, los oídos o incluso debajo de las uñas . En la I Guerra Mundial los alemanes utlizaron la reducción fotográfica para ocultar páginas de información o fotografías al enmascararlas en puntos sobre cartas o periódicos.

8. Impresoras Espías... Las ideas clásicas de las diferentes técnicas de tintas invisibles han influido en los procedimientos más modernos como marcas de agua o tintas ultravioletas presentes en el papel moneda o documentos “seguros”. La EFF (Electronic Frontier Foundation) denuncia desde hace un par de años (2005) como diferentes compañías (inicialmente Xerox) i ntroducen en los documentos impresos con sus impresoras (típicamente laser a color) códigos ocultos de rastreo ( tracking dots ). Identificación del dispositivo. ¿Algo más?. Forensic watermarking. EU: Printer Tracking Dots May Violate Human Rights (Feb 2008) “ Machine Identification Code Technology Project” Xerox DocuColor (fecha, hora, numero de serie...) http://www.eff.org/ issues /printers.

9. Siglos XVI y XVII: Influencia de la cultura renacentista en la esteganografía... El celebre renacentista Girolamo Cardano (1501-1576) reinventa en 1550 un procedimiento cuyos orígenes se encuentran en la cultura milenaria china, es lo que se conoce como la “Verja de Cardano” (Cardan Grille). “ Newspaper code”: Este método desarrollado en la Era Victoriana (época de gran expansión económica y social de Gran Bretaña entre 1837 y 1901) permitía a las clases pobres comunicarse libremente. Pequeños agujeros encima de ciertas letras del periódico, que unidas formaban el mensaje encubierto . Científico alemán Gaspar Schott (1608-1666), en su libro “ Schola Steganographica” describe como ocultar mensajes en partituras de música, haciendo equivaler una nota musical concreta con una letra . Otras ideas se basan en el número de ocurrencias de las notas. Se han documentando mensajes ocultos en músicos famosos como J.S Bach o John Wilkins. Conspiraciones urgidas entre los nobles católicos ingleses que querían destronar a la reina protestante Elizabeth por la católica María I de Escocia (1542-1567) . Uno de los mecanismos fue la ocultación de mensajes en barriles de cerveza que se transportaban sin levantar atención.

10. Siglos XVI y XVII: Influencia de la cultura renacentista en la esteganografía... En el siglo XVI y XVII se comienza a utilizar imágenes anamórficas , como un mecanismo ideal para camuflar información , sobre todo política. Una imagen anamórfica famosa es el “ Vexierbild ” creada por Erhard Schön (1491-1542) estudiante del famoso artista alemán Albrecht Durer. A primera vista aparecen lugares, costas, barcos y ciudades, pero si se analiza la obra con más cuidado se descubre la composición anamórfica de Carlos V, Fernando I, el Papa Pablo III y Francisco I. Una anamorfosis, como tal, es una deformación reversible de una imagen a través de procedimientos matemáticos u ópticos, que se manifiesta cuando se observa de una manera especial.

11. Siglos XVI y XVII: Influencia de la cultura renacentista en la esteganografía... John Wilkins (1614-1672) desarrolló obras relacionadas directamente con el mundo de la esteganografía: “ Mercury, or The Secret and Swift Messenger ” (1641). Es destacable el desarrollo de procedimientos para ocultar información utilizando dibujos geométricos (puntos, líneas, triángulos, etc). Patrón “Bow Tie”. Este patrón indica a los esclavos que se deshagan de su ropa vieja y busquen otra para encajar mejor en la nueva ciudad. Se ha documentado como desde finales del siglo XVIII hasta por lo menos la Guerra de la Independencia Estadounidense (siglo XIX) los esclavos afroamericanos habilita-ron mecanismos de comunicación enmas-carada , aprovechando las tradiciones de su civilización, cultura y religión. Los dueños de los esclavos prohibían el uso del tambor o la realización de ciertos cánticos, por temor a que pudieran ocultar algún tipo de simbolismo o información oculta que facilitara a las esclavos organizarse y preparar su huida...

12. Siglos XVI y XVII: Influencia de la cultura renacentista en la esteganografía... La obra “ Hidden in Plain View: A Secret Story of Quilts and the Underground Railroad ” (Jacqueline L. Tobin y Raymond G. Dobard -1999) profundiza en muchos aspectos de los diferentes medios y códigos secretos que permitieron a los esclavos alcanzar su libertad. http://pathways.thinkport.org/secrets. A lo largo de los años los esclavos afroamericanos constituyeron una red encu-bierta (en terminología inglesa Underground Railroad ) apoyados por familias blancas comprometidas para asistir a los esclavos fugitivos. Se habilitaban casas seguras, estaciones y refugios para ocultarse, al igual que se establecen diferentes códigos secretos de comunicación para facilitar a los esclavos el viaje a la libertad. Uno de los códigos de comunicación oculto consistía en bordar en colchas (en terminología inglesa “ Quilt Code ”) una serie de patrones que proporcionaban determinada información. Un método muy sencillo, a la vez que eficaz, cuya seguridad se basaba en el secreto compartido boca a boca entre los esclavos.

13. Esteganografía Lingüística ... Decrypted Secrets. Methods and Maxims of Cryptology. Friedrich L.Bauer (1997)

15. Ejemplos (Acrósticos)... QUEDÉ PRIMERO EN MONZA!!!! QUEDÉ PRIMERO EN MONZA!!!!! Nota para incultos (INCLUIDO UN SERVIDOR): MONZA alberga el Gran Premio de Italia de Fórmula I, y se caracteriza por el alto porcentaje del trazado que los pilotos recorren con el acelerador a fondo, debido a las largas rectas.

16. Llamando a casa... THE USS PUEBLO, 1968

18. Esteganografía y DecSS ... En Octubre de 1999 el grupo de hackers denominado MoRE (Masters of Reverse Engeneering) publicó en Internet el código fuente del programa DeCSS (Decoder Content Scramblins System) un software que anulaba el sistema de protección de los DVD y facilitaba su reproducción, inicialmente, en sistemas GNU/Linux. Poco después, la industria llevó a juicio al único miembro del grupo con identidad conocida: el joven noruego Jon Johansen (de 15 años). Al mismo tiempo, la MPAA (Motion Picture Association of America) empezó a demandar a todo aquel sitio web que almacenaba o enlazaba a una copia de dicho programa. Se pensó en convertir la información binaria del programa en un número, concretamente en un número primo. La ventaja de este elección son varias, pero la principal es la distribución. No existe jurisprudencia para prohibir la publicación de un número primo!!! Phil Carmody (2001) genera, varios números candidatos a número primo cuya representación binaria corresponde a una versión comprimida (algoritmo gzip) del programa fuente DeCSS escrito en lenguaje de programación C. Uno de ellos resultó ser primo, con la ventaja de ser el décimo primo más grande conocido, número de1401 dígitos , lo que facilitó su distribución.

19. La piedra de la discordia (2006) Sonría a la cámara ;)

21. A veces estamos demasiado dispuestos a creer que el presente es el único estado posible de las cosas... [Marcel Proust] Contenido Multimedia (imagen, audio, video), información textual (blogs, redes sociales, mensajería instantánea, sms), protocolos de comunicación (torre TCP/IP, wireless), sistemas operativos–sistemas de ficheros (estegoForense), estructura lógico/física de los dispositivos (malware hardware), características de los formatos de fichero (EOF, markup language, hydan)... Para qué se utiliza: Ocultación de comunicaciones-información (doble nivel de seguridad), integridad-autenticación de contenido (imágenes, ejecutables, lenguajes de marcado), funciones de hash resistentes , optimización en la transmisión de información (redes de sensores), saltar restricciones firewall-IDS... Ejemplo de EstegoSistema típico. Esquemas Esteganográficos: Esteganografía Pura, Esteganografía “Clave Secreta” (PrivateKey Steganography), Esteganografía “Clave Pública” (Public Key steganography). Esteganografía Cuántica...

22. ¿Se puede ganar uno la vida con esto?... Principio de Kerckhoffs. “Esteganografía académica”

23. Protocolos de Comunicación Canales Encubiertos ... Butler W. Lampson (1973): Un “canal oculto” se puede describir como aquel canal de comunicación que viola una o más políticas de seguridad del sistema donde se aplica”. Canales encubiertos: SOAP, HTTP, TCP, UDP, Ipv4, IPv6, DHCP, ICMP, IPSEC, IGMP, FTP, DNS, (802.2, 802.3), redes inalámbricas ... Simmons, G. J., " The Prisoners' Problem and the Subliminal Channel ," in Advances in Cryptology, Proceedings of CRYPTO '83, Plenum Press, 1984, pp. 51–67. Herramientas/Trojan: Loki (1996-ICMP/UDP), BO2K Daemonshell-UDP, ICMP Backdoor, 007Shell, Rwwwshell, MsnShell, MailTunnel,StegTunnel... Evitar: Cortafuegos, IDS....

24. Canales Encubiertos. Ejemplo protocolo UDP. Manipulación del Puerto Origen UDP (16 bits/paquete UDP). Hay situaciones en las cuales el receptor no necesita conocer el puerto origen de transmisión (ej, comunicación unidireccional) Manipulación de la Suma de Verificación (16 bits/paquete UDP): Este campo permite al receptor de una comunicación UDP detectar errores en el paquete UDP recibido. Si al comparar el paquete con la suma de verificación no coincide el paquete se debería descartar ¿o no?

26. SSOO-SSFF... (EstegoForense) StegFS - A Steganographic File System for Linux. The paper by Andrew McDonald and Markus Kuhn http://www.mcdonald.org.uk/StegFS/ ... (Hide Volumen Truecrypt) Borrado de archivos, sectores defectuosos (discos llaves).... ... Linux: Herramienta BMAP ...

27. Malware Hardware Estructura lógico/física de los dispositivos ... Paranoia “Colectiva” : ¿Puertas traseras en circuitos, chips, microprocesadores.............? ¿Protección software insuficiente? Malware Hardware: Ej, Virus en BIOS.

28. Contenido Multimedia... Internet ¿ocultación de comunicaciones? Invisibilidad Robustez Seguridad Contenido Multimedia. Imágenes: LSB (Least Significant Bit), coeficientes DCT-JPEG, coeficientes Wavelet-JPEG2000. Audio: LSB en muestras, ocultación en la fase de la señal (modulación y codificación), eco de la señal, basada en estadística de la señal... (mp3,ogg, wav, voc...) Video: Vectores de movimiento, procesado múltiple de frames... Lenguaje Natural: Procesamiento sintáctico y semántico (open codes y semagrams). Ej, sms, mail, chat, blog... TextHide, Texto, Nicetext: ¿Procesamiento estadístico? Lenguajes de Marcado y tecnologías Web. XML-HTML - Caracteres invisibles. - Modificaciones etiquetas. - Orden atributos etiquetas. Cabeceras http, cookies...

29. Ocultación en Imágenes. LSB (Least Significant Bit). Mecanismo de sustitución que permite ocultar información, en general, en cualquier bit de los píxeles que representan una imagen. Típicamente el Bit Menos Significativo (LSB). Es el mecanismo de ocultación más difundido en herramientas en Internet (S-Tools, Hide&Seek, Hide4PGP...). Facilidad para ocultar grandes cantidades de información. Principio1: La modificación de los bits menos significativos de los píxels para ocultar información es posible gracias a que el ojo humano no es capaz de percibir cambios (ruidos) muy pequeños en una imagen . Principio2: El bit menos significativo de los valores de la luminancia en imágenes digitales tiene valores completamente aleatorios y, por tanto, pueden ser reemplazados sin problemas. ( Axioma Falso!!! )

30. Estructura de ficheros gráficos. Imagen-EstegoForense. Cabecera Fichero Gráfico BMP Estructura fichero GIF JPEG . Distintos bloques (identificados por unos códigos, denominados marcadores) más los datos con los valores de la imagen. FFD9 = Marcador fin de archivo.

33. Estegoanálisis de Imágenes. RS Attack. (LSB Pseudoaleatorio) Precisión de la detección: 0,003 bits por píxel (0’3% de la ocupación total posible) Jessica Fridrich, M. Goljan and R. Du (SUNY Binghamton, NY) publica en octubre de 2001 “ Reliable Detection of LSB Steganography in Grayscale and Color Images ”.

34. 1. QUANTITATIVE EVALUATION OF PAIRS AND RS STEGANALYSIS. Andrew D. Ker. Oxford University Computing Laboratory, Parks Road, England. (2004) 2. A LSB STEGANOGRAPHY APPROACH AGAINST PIXELS SAMPLE PAIRS STEGANALYSIS. Xiangyang Luo, Fenlin Liu. International Journal of Innovative Computing, Information and Control. Volume 3,Number 3,June (2007). “ ...This paper presents a novel LSB information hiding method against pixels Sample Pairs Steganalysis (SPA) , a powerful steganalysis method proposed by Dumitrescu et al. with high precision. This approach embeds messages in the LSB plane of the carrier image randomly via a chaotic system, then makes a dynamic compensation on the stego-image. Even when the embedding ratio is near 100% , such dynamic compensation can lead SPA steganalysis to an incorrect judgment review because of getting a very small estimate value close to 0. Moreover, the initial value of the chaotic system and the selection parameters of the compensation can be used to improve the security of steganography approach. Experimental results show that this method can also resist some others steganalysis methods, such as RS analysis, DIH method, and various improved versions of SPA and RS steganalysis...”

36. Internet y Redes Sociales. ¿Alguién oculta información?...

41. ¿Futuro?... "El futuro tiene muchos nombres. Para los débiles es lo inalcanzable. Para los temerosos, lo desconocido. Para los valientes es la oportunidad.“ Victor Hugo.

42. Leer es bueno y sale barato... ¿Crees que la parte que tiene más tropa gana?. Entonces es sólo una cuestión de acudir a la batalla basándose en la cuenta de los soldados. ¿Crees que la parte con más riqueza gana?. Entonces es solo una cuestión de acudir a la batalla basándose en la medida del grano. ¿Piensas que la parte con armas más afiladas o armaduras más fuertes gana?. Entonces sería fácil determinar al vencedor. En consecuencia, los ricos no están forzosamente seguros, los pobres no están necesariamente inseguros, la mayoría no prevalece necesariamente, las minorías no fracasan forzosamente. Lo que determina quien gana y quien pierde, quien está seguro y quien en peligro, es su ciencia, su Camino... Sun Bin. El arte de la guerra ¿Es la esteganografía tu “Camino”...?

43. Esteganografía 2.0 Universidad Politécnica de Madrid. Escuela de Ingeniería Técnica de Telecomunicación. Departamento de Ingenierías y Arquitecturas Telemáticas. UPM-EUITT-DIATEL. Pasado, Presente y Futuro de la ocultación de comunicaciones. Alfonso Muñoz Muñoz [email_address] Jornadas de Seguridad 2008. Facultad de Informática A Coruña. Oct 2008. /* */ || ??