이미지 속 암호화된 메시지: SnapSeal 코덱 들여다보기

비밀과 표지의 역할

SnapSeal은 이미지, 파일, 텍스트의 원본 바이트와 메타데이터를 암호화한 뒤, 그 결과물인 암호화 봉투를 표지 이미지의 픽셀에 넣는다. 받는 사람에게는 보호된 파일과 비밀번호가 필요하다. 원래 표지나 서버는 필요하지 않다.

암호 기술은 내용의 기밀성을 지키고, 이미지 스테가노그래피는 데이터를 담을 운반체를 제공한다. 어느 쪽도 새로운 기술은 아니다. 여기서 중요한 것은 두 역할의 경계를 분명히 하는 일이다. 데모에 쓰인 그림과 테스트 비밀번호는 의도적으로 공개되어 있다.

1. original_bytes + metadata
2. Argon2id → AES-GCM
3. header + ciphertext + tag
4. RGB → PNG

original.pngcover.webpprotected.png

하위 2비트에 담기

RGB 픽셀에는 각각 8비트인 채널이 3개 있다. 이 예제의 인코더는 채널을 왼쪽에서 오른쪽으로 읽되 알파 채널은 건너뛴다. 각 채널의 상위 6비트는 그대로 두고 하위 2비트만 바꾸므로, 채널 4개에 1바이트를 담을 수 있다.

슬라이더를 움직여 강조된 비트가 바뀌는 모습을 살펴보자. 이 하위 비트 쓰기만 따로 보면 채널 값의 변화는 최대 3이다. 선택적으로 추가하는 JPEG 복구 데이터나 다른 표지 장식까지 더하면 변화가 더 커질 수 있다.

def embed_byte(channels: bytes, value: int) -> bytes:
    if len(channels) != 4 or not 0 <= value <= 255:
        raise ValueError("Expected four channels and one byte")
    pairs = [(value >> shift) & 3 for shift in (6, 4, 2, 0)]
    return bytes((c & 0xFC) | pair
                 for c, pair in zip(channels, pairs, strict=True))

def read_byte(channels: bytes) -> int:
    value = 0
    for channel in channels:
        value = (value << 2) | (channel & 3)
    return value

cover = bytes([170, 181, 94, 203])
stored = embed_byte(cover, 0xD3)
assert stored == bytes([171, 181, 92, 203])
assert read_byte(stored) == 0xD3

담을 수 있는 바이트 계산하기

채널 3개에 각각 2비트를 쓰면 픽셀당 6비트다. 1024×1024 표지에는 16바이트 픽셀 패킷 헤더를 넣기 전 786,432바이트, 헤더를 제외하면 786,416바이트를 담을 수 있다. 그림에 할당된 픽셀은 이 용량을 줄인다.

고정 표식은 패킷의 구조를 식별하고 길이 필드는 봉투의 끝을 알려준다. 패킷 버전과 암호화 버전은 서로 다른 체계다. 따라서 PNG2 패킷에 v3 암호화 봉투를 담을 수 있다.

C = floor(W × H × 3 × 2 / 8) − 16
C(1024, 1024) = 786,416 bytes

키를 유도하고 봉투를 인증하기

SnapSeal의 v3 프로필은 Argon2id v1.3으로 UTF-8 비밀번호와 무작위 16바이트 솔트에서 32바이트 키를 유도한다. 메모리는 64 MiB를 사용하며, 3회 반복하고 레인은 1개다. 리더는 키 유도 함수를 실행하기 전에 작업량 설정이 고정된 지원 값인지 검증해야 한다.

AES-256-GCM은 원본 바이트와 메타데이터를 암호화한다. 16바이트 태그는 암호문과 공개된 48바이트 헤더를 함께 인증한다. 인증에 실패하면 리더는 어떤 평문도 내보내서는 안 된다.

from argon2.low_level import Type, hash_secret_raw
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

def decrypt_v3(envelope: bytes, password: str) -> bytes:
    if not 70 <= len(envelope) <= 50 * 1024 * 1024 + 4096:
        raise ValueError("Invalid envelope size")
    header = envelope[:48]
    if header[:12] != b"SNAPSEAL\x03\x01\x13\x01":
        raise ValueError("Expected the v3 Argon2id profile")
    memory = int.from_bytes(header[12:16], "big")
    passes = int.from_bytes(header[16:20], "big")
    if (memory, passes) != (65536, 3):
        raise ValueError("Unsupported work factors")
    secret = password.encode("utf-8")
    if not 1 <= len(password) <= 256 or len(secret) > 1024:
        raise ValueError("Invalid password length")
    key = hash_secret_raw(
        secret, header[20:36], time_cost=passes,
        memory_cost=memory, parallelism=1, hash_len=32,
        type=Type.ID, version=19,
    )
    return AESGCM(key).decrypt(
        header[36:48], envelope[48:], header,
    )

plaintext = uint32_be(metadata_length) + metadata_json + original_bytes
envelope  = header + AESGCM(key).encrypt(nonce, plaintext, header)

메시지를 담는 곳은 픽셀

페이로드는 PNG 메타데이터가 아니라 디코딩된 RGB 값에 들어 있다. PNG 파일의 바이트가 서로 달라도 디코딩된 RGB 값이 같다면 하위 비트 메시지는 보존된다. 반대로 스크린샷을 찍거나 픽셀을 편집하고 크기를 바꾸면 그림은 알아볼 수 있어도 데이터는 파괴될 수 있다.

원본 압축을 명시적으로 선택하지 않았다면 복원 시 원본 바이트와 메타데이터가 정확히 돌아온다. 파일명은 암호화되지만 패딩을 쓰지 않으면 봉투의 대략적인 크기는 드러난다.

PNG bytes A ≠ PNG bytes B
RGB(A) = RGB(B), α(A) = α(B) = 255
→ envelope(A) = envelope(B)

압축 대응: JPEG를 통한 두 번째 복구 경로

압축 대응 기능은 크기가 그대로인 JPEG에서 복구를 시도하는 보조 경로다. 같은 암호화 봉투를 PNG의 RGB 하위 비트에 담고, 선택적으로 이미지의 주파수 계수에도 복구용 사본을 넣는다.

이 기능은 압축을 막거나 복구 성공을 보장하지 않는다. 형식을 탐지할 수 없게 만드는 것도 아니다.

RGB → Y → DCT(8×8)
q = round(coefficient / JPEG_quantizer)
coefficient′ = q × JPEG_quantizer

from math import floor

def put_bit(coefficient: float, bit: int, step: int = 24) -> int:
    cell = floor((coefficient / step - bit) / 2 + 0.5)
    return step * (2 * cell + bit)

def read_bit(coefficient: float, step: int = 24) -> int:
    return floor(coefficient / step + 0.5) % 2

stored = put_bit(70, 1)              # 72
assert read_bit(stored + 11) == 1    # 83: same cell
assert read_bit(stored + 13) == 0    # 85: crossed the boundary

223 + 32 = 255 bytes
t = (255 − 223) / 2 = 16 byte errors
A₀ B₀ C₀ A₁ B₁ C₁ … → A, B, C
repair → CRC → AES-GCM → original_bytes

exact(PNG) ∧ exact(Q60) ∧ exact(Q85 → Q60)
max(corrected_bytes_per_codeword) ≤ 12 < 16
automatic: envelope_length ≤ 280_000

형식이 드러내는 것

고정 표식 때문에 이 형식은 탐지할 수 있다. 표지 그림은 공개되어 있고 그림 자체로 인증되지 않는다. 상위 비트를 바꿔도 삽입된 메시지는 그대로 남을 수 있다. 오류 정정과 CRC는 전송 손상을 다루고, AES-GCM은 보호된 내용을 인증한다.

공격자는 여전히 오프라인에서 비밀번호를 추측할 수 있다. Argon2id가 추측 비용을 높이지만 약한 비밀번호를 안전하게 만들어주지는 못한다. 비밀번호 복구 기능은 없으며, 독립적인 보안 감사를 받았다는 주장도 아니다.

애플리케이션 없이 읽기

이 형식은 기존 암호 기술을 사용하고 데이터 구조와 한계를 명시한다. 독립적인 리더로도 읽을 수 있다. Python 3.12+ 리더는 JPEG 복구 사본이 들어 있는 경우를 포함해 원본 PNG를 읽는다. 크기 제한 등이 적용되는 단일 PNG SnapSeal ZIP과 원시 v3 봉투도 지원한다. JPEG로 변환된 파일을 읽으려면 TypeScript 코덱이 필요하다.

여기서 설명한 것은 오픈 소스 v3 구현이다. 기존에 배포된 오래된 리더는 그 출력물을 거부할 수 있다. 필요한 의존성은 가상 환경에 설치하면 된다. 전체 소스와 선택적 다운로드는 코드 예제 뒤에 나온다.

python -m pip install -r requirements.txt

from getpass import getpass
from pathlib import Path
from decode_snapseal import decode_path

result = decode_path(
    Path("protected.png"),
    getpass("Password: "),
)

output = Path("restored")
output.mkdir(exist_ok=True)
with (output / result.filename).open("xb") as target:
    target.write(result.data)