Шифрована порука у слици: како ради SnapSeal кодек

Тајна и слика носилац

SnapSeal полази од изворних бајтова слика, датотека или текста. Шифрује их заједно с метаподацима, а затим добијени омотач уписује у слику носилац. Примаоцу су потребни заштићена датотека и лозинка, али не и сервер или изворна слика носилац.

Криптографија чува поверљивост садржаја, док стеганографија обезбеђује начин преноса. Обе идеје су добро познате; изазов је јасно разграничити њихове улоге. Илустрација и лозинка за тестирање у овом примеру намерно су јавне.

1. original_bytes + metadata
2. Argon2id → AES-GCM
3. header + ciphertext + tag
4. RGB → PNG

original.pngcover.webpprotected.png

Два најнижа бита

Сваки RGB пиксел има три 8-битна канала. У овом примеру кодер пролази кроз канале слева надесно, прескаче алфа-канал, чува шест виших битова и замењује два најнижа. Четири канала тако могу да понесу један бајт.

Померајте клизач да видите како се истакнути битови мењају. Сам овај упис у ниске битове мења вредност канала највише за 3; додатни JPEG носилац и друге измене изгледа могу да промене слику и више од тога.

def embed_byte(channels: bytes, value: int) -> bytes:
    if len(channels) != 4 or not 0 <= value <= 255:
        raise ValueError("Expected four channels and one byte")
    pairs = [(value >> shift) & 3 for shift in (6, 4, 2, 0)]
    return bytes((c & 0xFC) | pair
                 for c, pair in zip(channels, pairs, strict=True))

def read_byte(channels: bytes) -> int:
    value = 0
    for channel in channels:
        value = (value << 2) | (channel & 3)
    return value

cover = bytes([170, 181, 94, 203])
stored = embed_byte(cover, 0xD3)
assert stored == bytes([171, 181, 92, 203])
assert read_byte(stored) == 0xD3

Колико бајтова стаје у слику

Три канала са по два бита дају шест битова по пикселу. Слика носилац величине 1024×1024 има места за 786.432 бајта пре заглавља пикселског пакета од 16 бајтова, односно за 786.416 бајтова после њега. Илустрације заузимају део пиксела и тиме смањују расположиви капацитет.

Фиксна ознака одређује распоред пакета, а записана дужина показује где се омотач завршава. Верзије пакета и шифровања означавају се независно: PNG2 пакет може да носи криптографски омотач v3.

C = floor(W × H × 3 × 2 / 8) − 16
C(1024, 1024) = 786,416 bytes

Извођење кључа и аутентификација омотача

Профил v3 користи Argon2id v1.3 да од лозинке кодиране у UTF-8 и насумичне соли од 16 бајтова изведе кључ од 32 бајта. Поступак користи 64 MiB меморије, три пролаза и једну паралелну путању. Пре покретања KDF-а читач мора да провери да ли параметри одговарају фиксним подржаним вредностима.

AES-256-GCM шифрује изворне бајтове и метаподатке. Аутентификациона ознака од 16 бајтова штити и шифровани садржај и јавно заглавље од 48 бајтова. Ако аутентификација не успе, читач ни у ком случају не сме да испоручи отворени текст.

from argon2.low_level import Type, hash_secret_raw
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

def decrypt_v3(envelope: bytes, password: str) -> bytes:
    if not 70 <= len(envelope) <= 50 * 1024 * 1024 + 4096:
        raise ValueError("Invalid envelope size")
    header = envelope[:48]
    if header[:12] != b"SNAPSEAL\x03\x01\x13\x01":
        raise ValueError("Expected the v3 Argon2id profile")
    memory = int.from_bytes(header[12:16], "big")
    passes = int.from_bytes(header[16:20], "big")
    if (memory, passes) != (65536, 3):
        raise ValueError("Unsupported work factors")
    secret = password.encode("utf-8")
    if not 1 <= len(password) <= 256 or len(secret) > 1024:
        raise ValueError("Invalid password length")
    key = hash_secret_raw(
        secret, header[20:36], time_cost=passes,
        memory_cost=memory, parallelism=1, hash_len=32,
        type=Type.ID, version=19,
    )
    return AESGCM(key).decrypt(
        header[36:48], envelope[48:], header,
    )

plaintext = uint32_be(metadata_length) + metadata_json + original_bytes
envelope  = header + AESGCM(key).encrypt(nonce, plaintext, header)

Порука је у пикселима

Подаци се налазе у декодираним RGB вредностима, а не у PNG метаподацима. Две PNG датотеке могу да имају различите бајтове, а да носе исту поруку у ниским битовима, ако су им декодиране RGB вредности непромењене. Снимак екрана, измена пиксела или промена величине, напротив, могу да униште податке иако слика остаје препознатљива.

Ако компресија извора није изричито изабрана, при опоравку се изворни бајтови и метаподаци враћају тачно. Назив датотеке је шифрован, али без допуне омотач и даље открива приближну величину.

PNG bytes A ≠ PNG bytes B
RGB(A) = RGB(B), α(A) = α(B) = 255
→ envelope(A) = envelope(B)

Опоравак из JPEG-а: други пут до података

Заштита од компресије овде значи покушај опоравка из JPEG-а који је задржао исте димензије, без гаранције успеха. Исти шифровани омотач има копију без губитака у ниским RGB битовима PNG-а, а по потреби и копију за опоравак у фреквенцијским коефицијентима слике.

То не спречава компресију и не обећава да ће подаци преживети произвољне апликације за размену порука. Не чини ни сам формат неоткривљивим.

RGB → Y → DCT(8×8)
q = round(coefficient / JPEG_quantizer)
coefficient′ = q × JPEG_quantizer

from math import floor

def put_bit(coefficient: float, bit: int, step: int = 24) -> int:
    cell = floor((coefficient / step - bit) / 2 + 0.5)
    return step * (2 * cell + bit)

def read_bit(coefficient: float, step: int = 24) -> int:
    return floor(coefficient / step + 0.5) % 2

stored = put_bit(70, 1)              # 72
assert read_bit(stored + 11) == 1    # 83: same cell
assert read_bit(stored + 13) == 0    # 85: crossed the boundary

223 + 32 = 255 bytes
t = (255 − 223) / 2 = 16 byte errors
A₀ B₀ C₀ A₁ B₁ C₁ … → A, B, C
repair → CRC → AES-GCM → original_bytes

exact(PNG) ∧ exact(Q60) ∧ exact(Q85 → Q60)
max(corrected_bytes_per_codeword) ≤ 12 < 16
automatic: envelope_length ≤ 280_000

Шта формат открива

Фиксне ознаке омогућавају да се формат препозна. Илустрација носиоца је јавна и не аутентификује се као илустрација; промене њених виших битова могу да оставе уграђену поруку нетакнутом. Исправљање грешака и CRC баве се оштећењима у преносу, док AES-GCM аутентификује заштићени садржај.

Нападач и даље може да погађа лозинке без приступа мрежи. Argon2id поскупљује сваки покушај, али не може да спасе слабу лозинку. Не постоји опоравак лозинке, нити се овде тврди да је спроведена независна безбедносна ревизија.

Читање без апликације

Независни читач за Python 3.12+ подржава изворне PNG датотеке, укључујући оне са JPEG копијом за опоравак, SnapSeal ZIP архиве са једним PNG-ом у оквиру подржаних ограничења и сирове омотаче v3. За датотеке претворене у JPEG потребан је TypeScript кодек.

Описани формат је v3 имплементација отвореног кода; старији већ објављени читачи могу да одбију њене датотеке. Формат користи постојеће криптографске примитиве, уз јасно наведена ограничења и независни читач. Наведене зависности инсталирајте у виртуелном окружењу. Комплетан изворни код и додатна преузимања следе после примера у тексту.

python -m pip install -r requirements.txt

from getpass import getpass
from pathlib import Path
from decode_snapseal import decode_path

result = decode_path(
    Path("protected.png"),
    getpass("Password: "),
)

output = Path("restored")
output.mkdir(exist_ok=True)
with (output / result.filename).open("xb") as target:
    target.write(result.data)