Užšifruota žinutė vaizde: kaip veikia SnapSeal kodekas

Atskirkime paslaptį nuo nešiklio

SnapSeal pradeda nuo originalių vaizdų, failų ar teksto baitų. Kodekas juos užšifruoja kartu su metaduomenimis, o gautą šifruotą paketą įrašo į nešiklio vaizdą. Gavėjui reikia apsaugoto failo ir slaptažodžio; pradinio nešiklio ar serverio nereikia.

Kriptografija saugo turinio konfidencialumą, o steganografija suteikia nešiklį. Abu principai seniai žinomi; svarbu aiškiai atskirti jų vaidmenis. Demonstracinė iliustracija ir bandomasis slaptažodis sąmoningai paskelbti viešai.

1. original_bytes + metadata
2. Argon2id → AES-GCM
3. header + ciphertext + tag
4. RGB → PNG

original.pngcover.webpprotected.png

Du žemiausieji bitai

Kiekvieną RGB pikselį sudaro trys 8 bitų kanalai. Šiame pavyzdyje koduotuvas kanalus skaito iš kairės į dešinę, alfa kanalą praleidžia, šešis aukštesniuosius bitus išsaugo, o du žemiausiuosius pakeičia. Taip vienam baitui įrašyti pakanka keturių kanalų.

Pajudinkite slankiklį ir stebėkite, kaip keičiasi pažymėti bitai. Vien šis žemųjų bitų įrašymas kanalo reikšmę pakeičia ne daugiau kaip 3; papildomas JPEG atkūrimo kanalas ar kiti vaizdo apdorojimo veiksmai gali ją pakeisti labiau.

def embed_byte(channels: bytes, value: int) -> bytes:
    if len(channels) != 4 or not 0 <= value <= 255:
        raise ValueError("Expected four channels and one byte")
    pairs = [(value >> shift) & 3 for shift in (6, 4, 2, 0)]
    return bytes((c & 0xFC) | pair
                 for c, pair in zip(channels, pairs, strict=True))

def read_byte(channels: bytes) -> int:
    value = 0
    for channel in channels:
        value = (value << 2) | (channel & 3)
    return value

cover = bytes([170, 181, 94, 203])
stored = embed_byte(cover, 0xD3)
assert stored == bytes([171, 181, 92, 203])
assert read_byte(stored) == 0xD3

Kiek baitų telpa į vaizdą?

Trys kanalai po du bitus suteikia šešis bitus vienam pikseliui. 1024×1024 nešiklyje telpa 786 432 baitai prieš 16 baitų pikselių paketo antraštę ir 786 416 baitų po jos. Iliustracijai rezervuoti pikseliai šią talpą sumažina.

Fiksuota žyma nurodo paketo struktūrą, o ilgis – kur baigiasi šifruotas paketas. Pikselių paketo ir šifravimo versijos žymimos atskirai: PNG2 paketas gali nešti v3 kriptografinį paketą.

C = floor(W × H × 3 × 2 / 8) − 16
C(1024, 1024) = 786,416 bytes

Rakto išvedimas ir paketo autentifikavimas

SnapSeal v3 profilyje Argon2id v1.3 iš UTF-8 slaptažodžio ir atsitiktinės 16 baitų druskos išveda 32 baitų raktą. Tam naudojama 64 MiB atminties, trys perėjimai ir viena gija. Prieš paleisdamas KDF, skaitytuvas privalo patikrinti, ar nurodyti fiksuoti sąnaudų parametrai yra palaikomi.

AES-256-GCM užšifruoja originalo baitus ir metaduomenis. Jo 16 baitų autentifikavimo žyma saugo ir šifruotą turinį, ir viešą 48 baitų antraštę. Jei autentifikavimas nepavyksta, skaitytuvas jokiu būdu neturi pateikti atvirojo teksto.

from argon2.low_level import Type, hash_secret_raw
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

def decrypt_v3(envelope: bytes, password: str) -> bytes:
    if not 70 <= len(envelope) <= 50 * 1024 * 1024 + 4096:
        raise ValueError("Invalid envelope size")
    header = envelope[:48]
    if header[:12] != b"SNAPSEAL\x03\x01\x13\x01":
        raise ValueError("Expected the v3 Argon2id profile")
    memory = int.from_bytes(header[12:16], "big")
    passes = int.from_bytes(header[16:20], "big")
    if (memory, passes) != (65536, 3):
        raise ValueError("Unsupported work factors")
    secret = password.encode("utf-8")
    if not 1 <= len(password) <= 256 or len(secret) > 1024:
        raise ValueError("Invalid password length")
    key = hash_secret_raw(
        secret, header[20:36], time_cost=passes,
        memory_cost=memory, parallelism=1, hash_len=32,
        type=Type.ID, version=19,
    )
    return AESGCM(key).decrypt(
        header[36:48], envelope[48:], header,
    )

plaintext = uint32_be(metadata_length) + metadata_json + original_bytes
envelope  = header + AESGCM(key).encrypt(nonce, plaintext, header)

Žinutė gyvena pikseliuose

Duomenys įrašomi į dekoduotas RGB reikšmes, o ne į PNG metaduomenis. Todėl dviejų PNG failų baitai gali skirtis, bet jų žemųjų bitų žinutė išliks ta pati, jei dekoduotos RGB reikšmės nepasikeitė. Ekrano kopija, pikselių redagavimas ar dydžio keitimas, priešingai, gali sunaikinti duomenis, nors pats paveikslas liks atpažįstamas.

Jei nebuvo aiškiai pasirinktas šaltinio glaudinimas, atkuriami tikslūs originalo baitai ir metaduomenys. Failo vardas užšifruotas, tačiau be papildomo užpildymo šifruotas paketas išduoda apytikrį turinio dydį.

PNG bytes A ≠ PNG bytes B
RGB(A) = RGB(B), α(A) = α(B) = 255
→ envelope(A) = envelope(B)

Atsparumas glaudinimui: antras kelias per JPEG

Atsparumas glaudinimui čia reiškia bandymą atkurti duomenis iš tokių pačių matmenų JPEG. Tas pats šifruotas paketas įrašomas į PNG žemuosius RGB bitus, o pasirinktinai – ir į vaizdo dažnių koeficientus kaip atkūrimo kopija. Šis būdas nei sustabdo glaudinimą, nei padaro formatą neaptinkamą; atkūrimas nėra garantuotas.

RGB → Y → DCT(8×8)
q = round(coefficient / JPEG_quantizer)
coefficient′ = q × JPEG_quantizer

from math import floor

def put_bit(coefficient: float, bit: int, step: int = 24) -> int:
    cell = floor((coefficient / step - bit) / 2 + 0.5)
    return step * (2 * cell + bit)

def read_bit(coefficient: float, step: int = 24) -> int:
    return floor(coefficient / step + 0.5) % 2

stored = put_bit(70, 1)              # 72
assert read_bit(stored + 11) == 1    # 83: same cell
assert read_bit(stored + 13) == 0    # 85: crossed the boundary

223 + 32 = 255 bytes
t = (255 − 223) / 2 = 16 byte errors
A₀ B₀ C₀ A₁ B₁ C₁ … → A, B, C
repair → CRC → AES-GCM → original_bytes

exact(PNG) ∧ exact(Q60) ∧ exact(Q85 → Q60)
max(corrected_bytes_per_codeword) ≤ 12 < 16
automatic: envelope_length ≤ 280_000

Ką formatas atskleidžia

Fiksuotos žymos leidžia formatą aptikti. Nešiklio iliustracija yra vieša ir kaip iliustracija neautentifikuojama; jos aukštesniųjų bitų pakeitimai gali palikti įterptą žinutę nepaliestą. Klaidų taisymas ir CRC padeda tvarkytis su perdavimo pažeidimais, o AES-GCM autentifikuoja apsaugotą turinį.

Užpuolikas vis tiek gali spėlioti slaptažodžius neprisijungęs. Argon2id padidina kiekvieno spėjimo kainą, tačiau silpno slaptažodžio neišgelbės. Slaptažodžio atkurti negalima; nepriklausomas saugumo auditas čia taip pat neteigiamas.

Nepriklausomas skaitytuvas

Formatas remiasi žinomais kriptografijos primityvais, aiškiai nurodo ribas ir turi nepriklausomą skaitytuvą. Python 3.12+ skaitytuvas palaiko originalius PNG, įskaitant PNG su JPEG atkūrimo kopija, riboto dydžio SnapSeal ZIP archyvus su vienu PNG ir neapdorotus v3 šifruotus paketus. Į JPEG konvertuotiems failams reikia TypeScript kodeko.

Čia aprašyta atvirojo kodo v3 realizacija; senesni jau naudojami skaitytuvai jos sukurtų failų gali nepriimti. Nurodytas priklausomybes įdiekite virtualioje aplinkoje. Visas pradinis kodas ir pasirenkami atsisiuntimai pateikiami po pavyzdžių.

python -m pip install -r requirements.txt

from getpass import getpass
from pathlib import Path
from decode_snapseal import decode_path

result = decode_path(
    Path("protected.png"),
    getpass("Password: "),
)

output = Path("restored")
output.mkdir(exist_ok=True)
with (output / result.filename).open("xb") as target:
    target.write(result.data)