（信号与信息处理专业论文）网络环境下隐藏信息的检测与分析研究.pdf

华中科技大学硕士学位论文 摘要 l 随着计算机网络技术和数字信息技术的迅速发展，互连网和人们的生活联系得 越来越紧密。使人们的交流方式和认知方式发生了巨大的变化，同时也对整个社会 的科学技术、经济文化产生了巨大的推动和冲击，从各个方面对人类进行着深刻的 影响。截止到2 0 0 0 年，全球因特网用户已达四亿多，而且仍在以惊人的速度增 长。步入2 1 世纪后，人们越来越强烈地依赖计算机网络，通过计算机网络实现网 络电话、电子邮件、电子购物、娱乐等等。商速的网络小仪给人类的生活和工作带 来便利，同时也不可避免地被各种组织、团体或个人所利用，成为隐蔽通信重要的 依赖环境，随时随地危害网络安全。 网络隐蔽通信主要指数字信息l 崽藏通信。自二十世纪九十年代世界各国开始研 究数字信息隐藏技术以来，已有相当数量的研究成果问世，逐渐因用途不同而分出 类别。关于信息隐藏的研究可分为理论研究、基础研究和应用研究三个层次。研究 内容包括网络上广为使用的各种文本文件，压缩图像，视频文件，音频文件，以及 网络通信协议等。 由于数字信息隐藏技术的发展尚处于初始阶段，世界各国对它的研究主要集中 在如何隐藏信息的正面研究上，而针对隐藏信息的检测、分析技术的研究则少之又 少，因此开展与之有关的信息安全方面的研究具有重大的科学意义和重要的战略意 义。从国际上看，以美国为代表的西方先进国家对网络计算和信息安全高度重视。 美国国家安全局( n s a ) 资助g e o r g em a s o n 大学的信息安全研究所进行信息隐藏分析 研究，工作主要针对存储介质上各种文件中隐藏信息的检测。美国空军研究所和 w e b s t o n et e c h n o l o g i e s 公司合作开发了“s t e g a n o g r a p h yd e w z t i o na n dr e c o v e r y t o o l k i t ”软件，主要针对网络传输资料和计算机文件的隐藏信息进行检测。寸 本文的工作是国家8 6 3 高技术研究发展计划“网络环境下隐藏信息的检测与分 析技术研究”课题的一部分，文章首先对当前的信息隐藏技术进行分析，然后着重 研究基于网络隐藏的各种算法，在对现今网络隐藏算法充分分析的基础上，提出了 一个分布式的基于代理的松耦合隐藏信息检测系统，住l i n u x 上测试通过，井通过 仿真实验对该系统进行检测，最后对检测算法在理论上做了相应讨论及改进，其中 检测代理端全部用c 编写，中心服务器端和信息隐藏程序全部用c + + 实现。 关键词：网络安全i 信息隐藏il i n u x ，、隐藏检测，网络代理；分布式系统， 模式匹配 l 华中科技大学硕士学位论文 j - _ - _ - _ _ - _ - _ _ _ _ _ _ l _ _ _ _ _ - _ - i _ - _ e = = _ | _ _ - - - - _ - l _ - - _ _ _ _ i i i _ - _ _ - _ _ - 口- 自_ _ _ _ w i mt h ed e v e l o p m e n to ft h ec o m p u t e rn e t w o r kt e c h n o l o g ya n dd i g i t a li n f o r m a t i o n t e c h n o l o g y ，t h ei n t e r n e th a sp l a y e da m o r ea n dm o r e i m p o r t a n tp a r ti np e o p l e sd a i l yl i f e ， m a k e st h ew a y p e o p l ec o m m u n i c a t ea n dp e r c e i v ec h a n g eg r e a t l y ，c o n s e q u e n t l y c a u s e st h e w h o l es o c i e t yu n d e r g oat r e m e n d o u si m p a c ti ne v e r ya s p e c t b yt h ee n do f2 0 0 0 ，o v e r4 h u n d r e dm i h i o n p e o p l eu s ei n t e r n e t ，a n dt h en u m b e r o f p e o p l eu s i n gi n t e r n e ti si n c r e a s i n g w i t ha nu n i m a g i n a b l es p e e d p e o p l ei n2 1 3 c e n t u r yd e p e n dm o l ea n dm o r eo nt h ei n t e r n e t s u c ha sn e tp h o n e ，e m a i l ，e - b u s i n e s s ，a n de n t e r t a i n m e n t a l lt h e s eh a v e b r o u g h tp e o p l e n o t o n l yc o n v e n i e n c ea n de f f i c i e n c y ，b u tf l e wd a n g e rw i t ht h eu s eo fc o v e r tc o m m u n i c a t i o n b a s e do ni n t e r a c tb y p e o p l e ，o r g a n i z a t i o n s ，a n dp a r t i e s ，t h u s 。d oh a r m t ot h es e c u r i t yo ft h e i n t e r n e t t h ec o v e r tc o m m u n i c a t i o nb a s e do i li n t e r n e tm e a n sc o v e r tc o m m u n i c a t i o nu s i n g d i g i t a li n f o r m a t i o nt e c h n o l o g y f r o mt h en i n e t i e t ho f2 0 “c e n t u r y t h et i m ew h e nl o t so f c o u n t r i e sb e g a nt h er e s e a r c ho ni n f o r m a t i o nh i d i n g ( c a l l e ds t e g a n o g r a p h y ) ，t h e r ea r e m a n yr e s e a r c hf i n d i n g s ，a n dt h e yc a nb ed i v i d e di n t o 3c a t e g o r i e s a c c o r d i n gt o t h e i r u s a g e s t h e ya r et h e o r yr e s e a r c h ，f u n d a m e n t a lr e s e a r c h ，a n da p p l i c a t i o nr e s e a r c h t h e c o n t e n t so ft h e s er e s e a r c h e si n c l u d ev a r i o u sk i n d ss u c ha sf i l e s ，c o m p r e s s e di m a g e 。v i d e o ， a u d i o ，a n dn e tp r o t o c 0 1 b e c a u s et h er e s e a r c ho nd i g i t a li n f o r m a t i o nh i d i n gi si ni t si n i t i a lp h a s e ，n o wt h e r e s e a r c hi sm a i n l ya b o u tt h e l do fh o wt oi l i d e 1 i t t l er e s e a r c hh a sb e e nd o n eo nh o wt o d e t e c tt h eh i d i n gi n f o r m a t i o n s oi ti sv e r yi m p o r t a n tt od e v e l o ps o m er e s e a r c hi nt h i sf i e l d t h es u r v e ys h o w st h a ti nt h ew o r l dt h ew e s t e r nc o u n t r i e sh a v e p a i dg r e a ta r e n t i o nt ot h i s f i e l d ，g e o r g em a s o nu n i v e r s i t ys t a r t e dt h ep r o j e c t 一r e s e a r c ha n da n a l y z eo nh i d i n g i n f o r m a t i o nf i n a n c e db yn s a ，i tw a s m a i n l ya b o u t t h ed e t e c t i o no f h i d i n gi n f o r m a t i o ni n v a r i o u sk i n d so f s t o r a g em e d i u m s ；w e b s t o n et e c h n o l o g i e s s t a r t e dt h e p r o j e c t o f “s t e g a n o g r a p h yd e t e c t i o na n dr e c o v e r yt b o l “r a n di t w a sm a i n l yo nt h ed e t e c t i o no f t h eh i d i n gi n f o r m a t i o ni nt h en e t w o r kd a t aa n dc o m p u t e rf i l e s t h i sp a p e ri sp a r to fw o r ko ft h en a t i o n8 6 3p r o j e c t “r e s e a r c ha n da n a l y z eo f n e t w o r kb a s e dh i d i n gi n f o r m a t i o nd e t e c t i o ns y s t e m ”。i nt h i sp a p e r ，w ef i r s ta n a l y z et h e h i d i n gt e c h n o l o g yi np r e s e n tu $ e ，t h e nm a i n l yd os o m er e s e a r c ho nt h eh i d i n ga l g o r i t h m b a s e do nt h e i n t e r a c t ，b r i n g f o r w a r dal o o s e l y c o u p l e ds y s t e m c a l l e d a g e n t b a s e d d i s t r i b u t i n gh i d i n gi n f o r m a t i o nd e t e c t i o ns y s t e m w eb u i l dt h es y s t e mo nl i n u x ，u s eo u r h i d i n gm e t h o d st o t e s ti t 。a n dm a k es o m et h e o r yd i s c u s s i o no nh o wt o i m p r o v e i t s p e r f o r m a n c e 1 1 1 ed e t e c t i o np a r ti sw r i t t e ni ncl a n g u a g ea n dt h eo t h e rp a r ti sw r i t t e ni n c + + l a n g u a g e k e y w o r d s ：n e t w o r ks e c u r i t y ，i n f o r m a t i o nh i d i n g ，l i n u x ，h i d i n g d e t e c t i o n ， n e t w o r k a g e n t ，d i s t r i b u t e ds y s t e m ，p a t t e r nm a t c h i n g 华中科技大学硕士学位论文 1 i 引言 1 绪论 信息隐藏技术是随着计算机和多媒体技术的飞速发展丽发展起来的一项新兴技 术。数字技术和汁算机网络的迅速发展使i n t c m e t 和人们的生活联系得越来越紧 密，人们通过i n t o m e t 可以方便快捷的查询信息，i n t c m e t 已经成为了全世界最大的 信息发布地，也是全球最繁忙的信息通道，每时每刻都有巨大的信息流通过i n t e m e t 进行传送。网络信息隐藏是利用网络自身的特点和漏洞进行的隐藏通信，依靠数字 技术和多媒体技术，对信息进行隐藏，并且传递隐藏信息，如利用i p 电话，视频会 议系统进行实时的机密信息的隐藏传输，利用网络协议的漏洞进行秘密通信等。由 于把要传送的信息伪装成网络上普通的数据流，隐藏信息不容易被发觉和感知，因 此利用网络的信息隐藏在很大程度上对国家安全构成了极大的威胁，如何检测网络 上的隐藏信息以及如何防范隐藏信息成为网络安全的一个重要方面，这也是维护国 家安全的重大问题，本章对信息隐藏的背景和概念等进行介绍。 1 2 课题背景 随着计算机技术的飞速发展，计算机网络对整个社会的科学与技术、经济与文 化产生了巨大的推动和冲击。截止到2 0 0 0 年，全球因特网用户已达四亿多，而日 在继续飞速增长。步入2 l 世纪后，人们强烈地依赖计算机网络，通过计算机网络 实现电子邮件、电子购物、电子交易、娱乐等等。高速的网络、丰富的媒体不仅给 人类的生活和工作带来了便利，同时也不可避免地会被各种国家、组织、团体所利 用，成为隐蔽通信重要的依赖环境。 网络隐蔽通信主要指数字信息隐藏通信。自二十世纪九十年代世界各国开始研 究数字信息隐藏技术( 国际上称为s t e g a n o g r a p h y ) 以来，已有相当数量的研究成果 问世，逐渐因用途不同而分出类别。关于信息隐藏的研究可分为理论研究、基础研 究和应用研究三个层次1 0 】1 1 2 j 。1 理论研究主要是建立信息隐藏( i n f o r m a t i o nh i d i n g ) 理论框架，解决隐藏量分析，隐蔽性描述等基本问题。2 基础研究主要是针对各种 华中科技大学硕士学位论文 不同的载体，研究各种隐蔽和恢复算法，以及它们的抗攻击能力。3 应用研究以实 用化为目的，研究各种多媒体数据文件格式及网络通道的隐藏算法。研究内容包括 面向i n t e r n e t 上广为使用的各种数据格式：j p e g 压缩图像，m p e g 2 压缩视频， w a v 、m i d i 、m p 3 音频文件，a v i 及三维动画文件，p s 和p d f 标准文件， v o i c e m a i l 或者v i d e om a i l 以及网络通信协议等。 由于数字信息隐藏技术的发展尚处于初始阶段，世界各国对它的研究主要集中 在如何隐藏信息的正面研究上，而针对隐藏信息的检测、分析技术的研究则少之又 少，目前我们可找到的线索有： 美国l o sa l a m o s 国家实验室和武器设计研究所在1 9 9 6 年分析了网络协议中的 隐蔽通道，并且针对这些隐蔽通道开发了信息隐藏工具包，其后在防火墙中增添了 基于这些隐蔽通道的检测功能。 美国国家安全局州s a ) 资助g e o r g em a s o n 大学的信息安全研究所进行信息隐藏 分析研究，工作主要针对存储介质上各种文件中隐藏信息的检测。他们的研究成果 主要用于两个方面：一是用于法院和警局以及安全部门的取证、鉴别工作，例如类 似于病毒扫描的软件对计算机上的所有文件进行扫描，检测是否有隐藏信息；二是 用丁边境部门，检查过境人员所携带存储介质巾足甭藏有隐藏f 育息。， 美国空军研究所和w e b s t o n et e c h n o l o g i e s 公司合作开发了“s t e g a n o g r a p h y d e t e c t i o na n dr e c o v e r yt o o l k i t 软件，主要针对网络传输数据和计算机文件的隐藏信 息进行检测。 与密码学类似，信息隐藏是一个对抗性的研究领域。正是因为有针对信息隐藏 的攻击和检测存在，信息隐藏研究才不断的深入。隐藏信息的检测、分析技术由于 其用途特殊，目前研究处于保密状态，国内外关于这方面的文献特别少。尽管民问 公布的资料很少，各国情报机关却在加紧研究。美国人是如何实现以上技术的、具 体有哪些技术，都无可查证。 国内基于网络信息隐藏检测技术的研究尚处于起步阶段，对于信息隐藏的检测 攻击集巾在图像水印方面。 2 华中科技大学硕士学位论文 1 3 信息隐藏与网络信息隐藏 1 3 1 信息隐藏 信息隐藏可以这样定义：信息隐藏是利用人类感觉器官对数字信号的感觉冗 余，将一个消息隐藏在另外一个普通消息中，而由于隐藏后消息的外部表现的只是 普通消息的外部特征，故并不改变普通消息的本质特征和使用价值。通常，我们称 这个普通消息为掩护消息( c o v e r - m e s s a g e ) ，隐藏的动作称为嵌入 ( e m b e d d i n g ) ，普通消息经嵌入信息后变成一个伪装消息( s t e g o m e s s a g e ) 叼 【2 5 】。 信息隐藏从隐藏的载体来分，可以分为基于图像、音频、视频、文本等媒体技 术的信息隐藏，按照信息隐藏的目的来分，可以分为秘密消息隐藏和数字水印。其 中秘密消息是用来进行秘密传输，数字水印是用来版权维护。 信息隐藏有着自己的特点，归纳起来，主要有以下几方面： 1 ) 不可察觉性：这是信息隐藏的基本特性。由于隐藏的信息不改变载体的任何 外在表现形式，所以不会引起载体的任何异常表现。因此不容易被察觉和感知。 2 ) 可靠性：安全可靠是指隐藏的信息不会轻易的因为载体的变换或遭到破坏而 受到任何影响。一个好的信息隐藏算法是能够使隐藏的信息适应各种环境而保持不 变。 3 ) 稳健性：是指载体自身存做诸如数，模模，数转换，有损无损压缩等变换的 时候，隐藏信息不会因此而有任何损失。 4 ) 不可伪造性：是指非指定发送者无法冒充指定发送者发送一个隐藏信息。 1 3 2 网络信息隐藏 基于网络的信息隐藏是利用网络作为传输通道，将机密内容隐藏于各种载体文 件，通过网络协议进行传输。同时利用网络自身的特点和某些设计上的缺陷，网络 本身也可以作为隐i 崴信息的载体，进行秘密传输。隐藏原理图为： 华中科技大学硕士学位论文 图1 1 网络信息隐藏原理图 已知的用于网络信息隐藏的算法主要有修改t c p i p 包头信息的隐藏，利用口 电话，视频会议系统进行实时的机密信息的隐藏，利用文本、声音和图片形式的隐 藏等。这样以隐藏信息为目的的网络上的数据传输与其他隐藏信息传输相比有着自 己的特点： 1 ) 隐蔽性能高：由于在网络上传输的数据流都是二进制字符，隐藏信息载体 与一般网络数据流在数据形式上没有区别，不容易被察觉，具有很强的隐蔽性。 2 ) 传输速度快：利用网络自身优势，数据流传输速度很快。 3 ) 传输时间分布不均匀：由于网络上时时刻刻都有数据流动，所以尤法事先 预测何时有隐藏信息进行传输，也无法事先知道隐藏信息传输的源地址和目的地 址。同时进行隐藏信息传输的时间相对比较短，往往很快结束，这就需要检测系统 能够实时的检测。 4 ) 鲁棒性差：由于在网络上进行实时传输的具有隐藏信息的数据包一般都有 特殊的隐藏标志，因此抗攻击性不强，这也给网络隐藏信息检测提供了检测依据。 5 ) 可靠性好：由于隐藏的信息在隐藏前事先已经经常加密，所以就算被发现 也无法解开。 由于基于嗍络的隐藏信息传输的以上特点，j 见利h j 嘲络信息隐藏进 的攻山 目前很难找到有效的办法来预防，这极大的威胁到国家安全和网络安全，这也是我 们设计网络隐藏信息检测系统的目的。 华中科技大学硕士学位论文 1 4 论文的贡献及组织结构 1 4 1 论文的主要贡献 1 ) 提出r 一个基于嘲络代理的分柿式的隐藏信息检测系统结构，有配置简 单，可扩展性好等优点。 2 ) 整个代理端是基于l i n u x 操作系统，采用实时的检测算法，能够及时检 测到隐藏信息，平台独立，可移植性好。 3 ) 对隐藏信息以规则的形式表示，采用协议树的结构对规则进行分类，规则 以文件的形式存储，可以方便的修改。 4 ) 针对目前的隐藏算法，分别提出了基于网络层，应用层，文件的隐藏算 法。 s ) 对检测出来的隐藏信息提供了多种报警机制，并以日志的方式存入数据 库。 1 4 2 论文的安排 本文是以国家8 6 3 计划资助项目( 2 0 0 1 a a l 4 2 1 7 0 ) “网络环境下隐藏信息的 检测与分析技术研究”为项目来源，以信息隐藏和检测为主题，主要讨论网络环境 下对隐藏信息的检测提取以及相关的策略，主要对在l i n u x 系统中如何进行检测进 行了讨论。本文在此基础上，主要分为6 章，安排如下： 第一章介绍信息隐藏和网络安全的基本背景和概念，由此引入网络信息隐藏。 第二章对信息隐藏算法做深入分析，并提出我们自己相应的信息隐藏算法，用来 检测隐藏信息检测系统的有效性。 第三章对当前的检测技术和算法的分析，提出适合我们自己的隐藏信息检测算 法，和基于代理的分布式检测系统结构。 第四章在第三章提出的系统框架的前提下，具体论述了各个部分的实现。 第血卓刈第l 必卓实j i ! l l 的系统进行检测，井分析实验数掂，挺出柏也的改进算法。 第六章论文的总结以及对今后研究内容的引出，展望信息安全和信息隐藏检测今 后的发展。 华中科技大学硕士学位论文 2 1 引言 2 信息隐藏算法研究 征信息的世界巾，为了能够达到秘密通讯的f 1 的，除了加密以外，另一种方法 就是信息隐藏技术。信息隐藏技术是用来进行秘密通讯的方法，本章对信息隐藏算 法进行深入分析，最后提出我们自己的信息隐藏算法。 2 2 信息隐藏算法分析 2 2 1 基于网络协议的隐藏算法 网络协议通常对分不同层次进行开发，每一层分别负责不同的通信功能。在互 联网中，i n t e r n c t 使用t c p i p 协议族，使得各种计算机网络可以相互通信。 2 2 1 + 1 网络协议的缺陷 目前使用的t c p b p 协议是i p v 4 ，t c p i p 协议族自下而上可分为四层：链路 层、网络层、运输层和应用层，如下图所示。 源主机目标主机 图2 1t c p i p 协i 义层次图 6 华中科技大学硕士学位论文 在图2 1 中，网络层提供点到点的服务，包括网际协议p 等；传输层提供端到 端的服务，包括传输控制协议t c p 和用户数据报协议u d p 。i p 是t c p i p 协议族中 最为核心的协议。t c p 和u d p 数据都以m 数据报格式传输。两者的最大区别是： u d p 提供面向无连接的服务，在传送数据之前不需要先建立连接，远地主机的运输 层在收到u d p 数据报后，不需要给出任何应答；而t c p 则提供面向连接的服务， 为两台主机提供高可靠性的数据通信，因此采用三次握手过程建立连接。 t c p 的i 次握手的过程如图2 2 所示1 2 3 1 。 1 ) 请求端( 通常称为客户) 发送一个s y n 同步信息，指明客，、的源地址 ( s o u r c e a d d r e s s ) ，客户打算连接的服务器的端口，以及初始序列号i s n ，图中设 为x 。 2 ) 服务器收到该同步信息后，根据其中的源地址，向客户发回包含服务器的初 始序列号( 这里为y ) 的s y n 报文段作为应答。同时，将确认信息a c k 的确认序 号设置为客户的i s n 加1 以对客户的s y n 报文段进行确认。 3 ) 客户必须将确认序号设置为服务器的i s n 加l 以对服务器的s y n 报文段进 行确认。待客户向服务器发送a c k 后，t c p 连接建立成功，客户开始向接收方发 送数据。 t m c 1 i e n t 图2 2 用三次握手建立t c p 连接 t l r a ep a s s 7 华中科技大学硕士学位论文 下面是t c p r p 的包头信息。下图表示的是p 头( 数字表示从低位到高位的字节 顺序) 0481 6 2 43 2 i v e r sh l e n s e r v i c e t y p e t o t a l l m g t h l l i d e n t i f i c a t i o n f 1 雄slf r a g m e n to f f s e t s o u i c ei p a d d r e s s i i d e s t i n a t i o ni p a d d r e s s i i i po p t i o n s ip a d d i n g i d a t a 图2 3 i p 包头 下图表示的是t c p 头( 数字表示从低位到高位的字节顺序) 048 1 62 43 2 l s o u r c e p o f l l d e s t i n a t i o np o r t s e q u e a c en u m b e ia c l m o w l e d g m m tn u m b 甘 i i - i l e n r e s e r v e dw i n d o w l c h e c l 盘u m l u r g m tp o i m 叮 lo p t i o n slp a d d 啦l d a t a i 图2 4 t c p 包头 从t c p i p 的信息头里看出，由于一个完整的传输过程并不需要所有的头信息 参与，因此有很多地方可以用来进行信息隐藏川。 华中科技大学硕士学位论文 2 2 1 2 基于t c o i p 协议的信息隐藏 具有代表性的基于网络层的信息隐藏工具是一个名叫c o v e r t t c p 的软件，它就 是利用网络协议的冗余性，在网络包的非关键的区域填入需要隐藏的信息来进行隐 藏信息传递。它的主要实现基于以下原理： 口头的m 域有1 6 位，可以将要发送的字符信息的a s c i i 码的乘以2 5 6 ，变为 d 域的值。接收方收到后，再将d 域的值除以2 5 6 ，进行解码，可以读出接受到 的字符信息。 由于扩展的a s c i i 码( e x t e n d e da s c i i ) 有8 位，包括a s c i i 码字符集和i b m 字符集，可以代表2 6 个英文字符的大小写和一些图形线段，所以可以传输的信息 范围还是很大的。 借鉴c o v e r t t c p ，通过分析t c p i p 协议的漏洞，我们可以试图从以下位置进 行信息隐藏。这些位置包括疋包的标识、p 包的原始地址号、t c p 包的初始顺序 号、t c p 包的应答号具体来讲，m 包的标识i d 是用来让远端的路由器或主机 来对发送的数据包进行重组。它只是用来唯一标识一个报文来让路由器可以对分组 了的数据包进行重组。同样的，t c p 包的初始顺序号和t c p 包的应答号也是随机 产生的，它用来保证客户端和远端的服务器进行可靠的连接。这些随机产生的数据 可以作为信息隐藏的信道，隐藏信道的定义为：“能够被用来传送隐藏数据的任何 通讯信道”【3 5 】，本质上说，它是属于通讯范畴而不属于实际的计算机系统设计，但 是它却可以被用来把那些通常情况下需要隐藏的信息传送到用户或系统进程。 2 2 1 3 基于网络上层协议的信息隐藏 基于t c p i p 层以上的网络各层协议的信息隐藏工具非常丰富，具有代表性有 l o k i ，l o k i 通过强制修改i c m p 回最请求和i c m p 回显应答的数据部分，在其中构 建一条隐通道，隐蔽地传递信息达到攻击的目的。而防火墙一般不过滤i c m p 回显 数据包，只是简单的允许其通过、将其丢弃、或将其返回给源地址。攻击者常常将 特洛伊木马程序的数据包伪装成一般的i c m p 同硅数据包，因而可以秘密传递想要 的任何信息。从这一点来看，l o k i 指的是秘密传递信息的i c m p 回湿数据包，是 华中科技大学硕士学位论文 = e j 目= e = = e l e l = # 目= j e e l # = _ ii - _ - - - _ i _ _ _ _ l - - l _ _ _ _ _ l 目i j i _ _ _ _ - 一种隐写术，它主要是利用i c m p 协议的漏洞，将隐藏的代码放入i p c m 包中不敏 感的部分，达到信息隐藏的目的。 i c m p 经常被认为是t p 层的一个绢成部分，宦传递荠错报文以及茛他需豫汁意 的信息。 i c m p 报文通常被m 层或更高层协议( t c p 或u d p ) 使用。一些i c m p 报文把 差错报文返回给用户进程吲。 i c m p 报文是在p 数据报内部被传输的，如图2 5 所示。 卜- 一一i p 4 州j l 一_ 三曼： 二二j 雯至 2 【j ，1 j 图2 5i c m p 封装在i p 数据报内部 i c m p 报文的格式如图2 6 所示。所有报文的前4 个字节都是一样的，但是剩下 的其他字节则互不相同。类型字段可以有1 5 个不同的值，以描述特定类型的1 c m p 报文。某些i c m p 报文还使用代码字段的值来进一步描述不同的条件。检验和字段 覆盖整个i c m p 报文，i c m p 的检验和是必需的。 图2 6i c m p 报文 这样，为了实现隐藏，可以将字符的a s c i i 值放人i c m p 回显应答的标识符字 段。传送的时候只按2 8 字节传出，没有选项数据字段。 2 2 2 基于文件的隐藏算法 当今i n t o m e t 和多媒体迅猛发展，使得信息隐藏成为一个十分活跃的领域。 i n t e m o t 成为世界性的信息发布场所给予信息隐藏技术广阔的应用范围，而多媒体文 f l ：的臣人容量义为信息隐藏摊供j 适当的载俸。针刈i 型像、语旨、义字、视频这些 包含大罱信息的载体都以数字化的形式存在于i n t e r n e t 之f ：，可以快捷地被复制、 l o 华中科技大学硕士学位论文 修改、删除和添j j u 的情况，信息隐藏在秘密通佑之外又有了新的用武之地：版权保 护和保护数据完整性等。图2 7 表示了通常的信息隐藏系统的结构。 一一一等型 陌删曼1 一一空、 l 一堕盟j 厂丽丽聪一 一寸稀孺一 一 ：二 ：二 堕塑 图2 7 信息隐藏系统的结构 合成器用于将待隐信息通过密钥使用某种算法嵌入到遮掩消息汇中，形成外部 特征与遮掩消息相同的隐写文档。该文档通过公开信道进行传输，接收到隐写文档 的一方，通过与合成器相对的分离器，将待隐信息从隐写文档中分离出来。目前通 常用文字、图象文件、语音文件以及其它多媒体文件作为遮掩消息 1 2 1 “9 11 2 0 1 。下面 就基于文本和图象的隐藏进行分析。 2 2 2 1 基于文本文件的信息隐藏 基于文本的信息隐藏技术一般是基于空白隐写术的。当s p a c e 和t a b ( 也就是通 常说的空白) 出现在文本文件一行的末尾时是不可见的，这就使得信息可以隐藏在 文本文件中，并且不会影响整个文本的显示。由于s p a c e 和t a b 出现在文本中也是很 正常的，它们的存在就不会马上引起随意阅读者的怀疑。 基于文本的隐藏最著名的就是基于t 】【t 文件的隐藏工具s n o w ，它的基本原理 是： 1 ) 压缩，首先将待隐藏的信息用一个简单的适用于英语文本的h u f f m a n 编码 压缩。选择压缩是因为在某些时候文本所提供的空白储存空间很少，用，压缩算法 之后开销就减小了，就可在较少的空间里隐藏较多的信息。依据文本，压缩率可达 到2 5 4 0 。( 如果想压缩长一点的信息，还可选用其它压缩率较高的算法代替 h u f f m a n 编码算法，这样效率会更高) 。 2 ) 加密，程序中采用的加密算法是以d e s ( 数据加密标准) 算法为基础的。 d e s 系统，可以看作是字母表有2 “个符号的分组加密系统。如下图所示： 华中科技大学硕士学位论文 p l a l n t t 图2 8 d e s 算法 输入的6 4b i t s 块，被替换为新的密文符号。加密算法以6 4b i t s 明文的初始胃= 换( h i p ) 开始。 在初始置换之后，加密算法的核心是使用标准建筑块s t a n d a r db u i l d i n gb l o c k ( s b b ) 进行1 6 次迭代。标准建筑块使用4 8b i t s 子密钥变换6 4b i t s 输入数据，得到 6 4b i t s 输出数据。6 4b i t s 分篇为3 2b i t s 左半和3 2b i t s 右半。每一标准建筑块的输出 作为下一个的输入。输入的3 2b i t s 右半r _ l 原封不动复制到输出的3 2b i t s 左半 ( l i ) 。r i 1 同时利用e 表扩展为扩展到4 8b i t s ，与4 8b i t s 密钥模2 求和。 e 一表扩展b i t s 到 r h = x l t x 备f f 3 2 图2 9s t a n d a r db a n d i n gb l o c k l r h ) e = x 3 缸x 1 x 备，x 翰x 注意e - 表的第一和最后的列恰是3 2 一t o - 4 8b i t 扩展时使用两次的位。 华中科技大学硕士学位论文 其次，( r i - 1 ) e 与选定密钥的第1 位摸一2 求和，结果分为8 组，每组6 - b i t 。这些 组作为输入送到代换盒，输出4 _ b i t 的组。这样4 8b i t s 的输入通过代换盒变换为3 2 b i t s 。假定& 盒的6 个输入端为b jb 2b j 如b 6 ，在s 表中找出b j 行，b 2b ，加b 列的元素& ( 6 jb 6 ，b 2b 3b 4b 5 ) 便是s i 盒的输出。1 6 次s b b 迭代之后，数据再经过 逆置换i n v e r s e p e r m u t a t i o na p 。) ，脱密采用同样算法，只是选择密钥的顺序相反。 3 ) 隐藏，为了表示信息的开始，一个t a b 会被加在文本中第一个适合的位置 上。每次写入n 个比特，编码成0 一( 2 “一1 ) 个s p a c e ，也就是说每n 个比特都是 用t a b 加上0 一( 2 n 1 ) 个s p a c e 来表示的。任何不是n 比特倍数的信息将会用0 补 上。 2 2 2 2 基于图象文件的信息隐藏 主要包括l s b 、d c t 和d w t 域算法。 1 ) 最不重要位( l s b - l e a s ts i g n i f i c a n tb i t ) ： 将每一个采样值的最不重要位，多数情况下为最低位，用代表秘密数据的二进 制位替换，以达到隐藏的目的其特点是隐藏方法简单，不容发觉，但鲁棒性差。 2 ) d c t 域算法的流程图如图2 1 0 所示： 图象 输入 直流分量 图2 1 0 d c t 变换流程图 从图2 1 0 中我们可以看出，d c t 变化首先把图像分成8 8 的不重叠象素块， 在经过分块d c t 变换后，即得到由d c t 系数组成的频率块，然后随机选取一些频 率块，将待隐藏的信号嵌入到由密钥控制选择的一些d c t 系数中。该算法是通过 对选定的d c t 系数进行微小变换以满足特定的关系，以此来表示一个比特的信 编码 输出 中路卜-lj h 黼芦 盟 塑 孙一 二眦一 叫 h 蚪 画 塑 画量阿rb鼢 f 一 ， 一量l。、) 一性一厂瓣j 华中科技大学硕士学位论文 息。在水印信号提取时，则选取相同的d c t 系数，并根据系数之间的关系抽取比 特信息。其思想类似于扩展频谱通讯中的跳频技术，其特点是数据改变幅度较小， 且透明性好，但是其抵抗几何变换等攻击的能力较弱1 2 4 。 3 ) d w t 算法与上述算法具有相似的原理。这里我们以整数小波变换加以说 明，它的原理是先对载体图像分块，对每块进行整数小波提升，然后将灰度水印 置乱后做位平面分解，再嵌入到低频系数中，最后进行逆变换，得到嵌入了水印的 图像1 2 5 【2 7 】。流程图如下： 图2 1 1水印嵌入流程 i w l s t i n t e g e rw a v e l e tl i f t i n gs c h e m e i i w l s ：i n v e r s ei n t e g e rw a v e l e tl i f t i n gs c h e m e 这种以变换域算法为代表的通用算法普遍采用变换技术，以便在频率域实现水 印信号叠加，并借鉴扩展频谱通讯等技术对水印信号进行有效的编码，从而提高了 透明性和鲁榉性，同时还适当利用滤波技术对水印信号引入的高频噪声进行了消 除，从而增加了对低频滤波攻击的抵抗力。 2 2 3 隐藏可靠性分析 信息隐藏的安伞件通俗的讲是指被第i 方( 敌手) 发现和攻击的可能件。敌手的 攻击分为被动攻击即设法探测到隐藏信息；主动攻击即设法破坏和伪造隐藏信 息。在这里我们主要讨论信息隐藏对被动攻击的安全性问题。 引入以下假设：指定接收者为r e c e i v e r ，隐藏信息的发送者为s e n d e r ，敌手为 e n e m y ，要嵌入的隐藏信息为e ，s e n d e r 的私钥为k ，要嵌入隐藏信息的载体为 c ；s e n d e r 使用k 将e 藏入c 中，构成了密写文，记为s = s ( e ，k ，c ) 称( e ，k ， 1 4 华中科技大学硕士学位论文 c ，s ) 为一个密写隐藏系统；这里( c ，s ) 均为随机变量，且c 和s 均取值于课文 空间q ；e 和k 对于敌手e n e m y 来说也是随机变量，k 取值于密钥空间。 定义：称密写隐藏系统( e ，k ，c ，s ) 是抗被动攻击s 安全的，如果 d ( 足p s ) 。其中? c y a p s 分别为c 和s 的概率分布： d ( p cl l b ) = 匕( q ) l o g ( p c ( q ) p 5 ( 口) ) 在这里仅对基于p 协议的信息隐藏做安全性分析，我们取嵌入隐藏信息的载体 c 为p 头的d 字段，e 为隐藏信息一即我们这里的“e & id e p t h u s t ，k 为用于 d 字段的加密算法，考虑到在上面我们提到的实验过程中没有加密。为了简化汁 算，我们这里取k 为一比特密钥，这样我们就可以把该模型视为一个单比特密写隐 藏模型，设 jj 艿= f 只( 口) 一只( g ) l ，可以推出 3 0 1 ： l 口e 瓯 非“ l 。( e cl i e s ) = 半l o g ( 1 悯+ 半l o g ( 1 呐半艿+ 半( 由上式可知我们基于r a ws o c k e t 的信息隐藏模型( e ，k ，c ，s ) 至少是抗被动 攻击扩安全的。 2 _ 3 信息隐藏算法实现 2 3 1 基于网络层的信息隐藏 由于m 头的号，t c p 头的初始序列号都是随机产生的，p 头的源地址是发 送方可以设定的，网络传输对此不敏感，所以可以修改这些域的值，把要传送的信 息放在这些域中发送出去，而不被发现。将字符的a s c i i 值放入首部的总长度 字段，不用管实际有多长。传输时按这个长度传送t c w i p 包，一般字符的a s c i i 值都超过4 0 ，t c p i p 的首部长度是4 0 字节。由于口首部的长度字段不能被检测出 来，所以还要设置另外的标志表明有信息隐藏在该数据包中。对于这个方案，程序 中将t c p 首部的确认号字段设置为0 x 6 9 7 3 7 7 f 0 0 x 6 9 7 3 7 7 f f 之问。由于传输前系统 将其倒序，检测时就成j ，0 x f 0 7 7 7 3 6 9 0 x f f 7 7 7 3 6 9 之间r 。这井小影响信息的挺 华中科技大学硕士学位论文 取，因为在接收时系统会对其倒序，所以提取程序中仍然是判断确认号字段是否在 0 x 6 9 7 3 7 7 f o 一0 x 6 9 7 3 7 7 f f 之间即可。 在这里，需要用到t c p i p 协议定义的一种新的套接口s o c kra w 原始套 接口类型。简单的说，一般在s o c k _ s t r e a m ，s o c k _ d a t a g r a m 的s o c k e t 接 口中，发送的时候系统的内核自动的封装了t c p i p 的包