一张图片里的加密消息：SnapSeal 编解码器解析

先分清秘密和载体

SnapSeal 从图像、文件或文本的原始字节开始，先加密这些字节及其元数据，再把所得封装嵌入封面图像的像素。接收者只需要受保护文件和密码，不需要服务器或原始封面。

密码学保护内容的机密性，图像隐写提供载体；两者都是成熟的技术。演示所用的封面图和测试密码本来就是公开的。

1. original_bytes + metadata
2. Argon2id → AES-GCM
3. header + ciphertext + tag
4. RGB → PNG

original.pngcover.webpprotected.png

借用 RGB 的最低两位

每个 RGB 像素有三个 8 位通道。在这个示例中，编码器从左到右依次处理通道，跳过 alpha，保留高六位并替换最低两位。因此，四个通道就能存下一个字节。

移动滑块，可以看到高亮的位如何变化。单独执行这次低位写入时，每个通道的数值最多改变 3；额外的 JPEG 恢复载体或其他画面处理可能带来更大的变化。

def embed_byte(channels: bytes, value: int) -> bytes:
    if len(channels) != 4 or not 0 <= value <= 255:
        raise ValueError("Expected four channels and one byte")
    pairs = [(value >> shift) & 3 for shift in (6, 4, 2, 0)]
    return bytes((c & 0xFC) | pair
                 for c, pair in zip(channels, pairs, strict=True))

def read_byte(channels: bytes) -> int:
    value = 0
    for channel in channels:
        value = (value << 2) | (channel & 3)
    return value

cover = bytes([170, 181, 94, 203])
stored = embed_byte(cover, 0xD3)
assert stored == bytes([171, 181, 92, 203])
assert read_byte(stored) == 0xD3

算一算能放多少数据

三个通道各用两位，每个像素就能存六位。1024×1024 的封面在扣除 16 字节像素包头之前可容纳 786,432 字节，扣除后剩下 786,416 字节。封面画面会预留一部分像素，因此实际容量更小。

固定标记用于识别包的布局，长度字段则标明封装在哪里结束。像素包和加密封装的版本各自独立：PNG2 包可以承载 v3 加密封装。

C = floor(W × H × 3 × 2 / 8) − 16
C(1024, 1024) = 786,416 bytes

派生密钥，认证封装

SnapSeal 的 v3 配置使用 Argon2id v1.3，从 UTF-8 密码和随机生成的 16 字节盐派生出 32 字节密钥。参数为 64 MiB 内存、三次遍历、一条并行通道。读取程序必须先确认工作参数属于受支持的固定配置，再运行密钥派生。

AES-256-GCM 加密原始字节和元数据；16 字节认证标签同时保护密文和公开的 48 字节头部。认证失败时，读取程序绝不能输出明文。

from argon2.low_level import Type, hash_secret_raw
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

def decrypt_v3(envelope: bytes, password: str) -> bytes:
    if not 70 <= len(envelope) <= 50 * 1024 * 1024 + 4096:
        raise ValueError("Invalid envelope size")
    header = envelope[:48]
    if header[:12] != b"SNAPSEAL\x03\x01\x13\x01":
        raise ValueError("Expected the v3 Argon2id profile")
    memory = int.from_bytes(header[12:16], "big")
    passes = int.from_bytes(header[16:20], "big")
    if (memory, passes) != (65536, 3):
        raise ValueError("Unsupported work factors")
    secret = password.encode("utf-8")
    if not 1 <= len(password) <= 256 or len(secret) > 1024:
        raise ValueError("Invalid password length")
    key = hash_secret_raw(
        secret, header[20:36], time_cost=passes,
        memory_cost=memory, parallelism=1, hash_len=32,
        type=Type.ID, version=19,
    )
    return AESGCM(key).decrypt(
        header[36:48], envelope[48:], header,
    )

plaintext = uint32_be(metadata_length) + metadata_json + original_bytes
envelope  = header + AESGCM(key).encrypt(nonce, plaintext, header)

消息在像素里，不在 PNG 元数据里

载荷存放在解码后的 RGB 数值中，而不是 PNG 元数据中。两个 PNG 的文件字节可以不同；只要解码后的 RGB 数值不变，低位消息就仍然保留。反过来，截图、编辑像素或调整尺寸都可能破坏数据，即使画面依然看得清楚。

除非明确选择了源文件压缩，恢复结果会精确保留原始字节和元数据。文件名经过加密，但如果没有填充，封装仍会泄露内容的大致大小。

PNG bytes A ≠ PNG bytes B
RGB(A) = RGB(B), α(A) = α(B) = 255
→ envelope(A) = envelope(B)

抗压缩：通过 JPEG 寻找第二条恢复路径

这里的抗压缩是针对尺寸不变的 JPEG 尽力恢复。同一份加密封装在 PNG 的 RGB 低位中有一份副本，还可以选择在图像频率系数中放入一份恢复副本。

这条额外路径为部分 JPEG 转换留出容错空间，但既不能阻止压缩，也不会让格式变得无法检测。

RGB → Y → DCT(8×8)
q = round(coefficient / JPEG_quantizer)
coefficient′ = q × JPEG_quantizer

from math import floor

def put_bit(coefficient: float, bit: int, step: int = 24) -> int:
    cell = floor((coefficient / step - bit) / 2 + 0.5)
    return step * (2 * cell + bit)

def read_bit(coefficient: float, step: int = 24) -> int:
    return floor(coefficient / step + 0.5) % 2

stored = put_bit(70, 1)              # 72
assert read_bit(stored + 11) == 1    # 83: same cell
assert read_bit(stored + 13) == 0    # 85: crossed the boundary

223 + 32 = 255 bytes
t = (255 − 223) / 2 = 16 byte errors
A₀ B₀ C₀ A₁ B₁ C₁ … → A, B, C
repair → CRC → AES-GCM → original_bytes

exact(PNG) ∧ exact(Q60) ∧ exact(Q85 → Q60)
max(corrected_bytes_per_codeword) ≤ 12 < 16
automatic: envelope_length ≤ 280_000

格式会暴露什么

固定标记使这种格式可以被检测出来。封面画面是公开的，也没有作为画面内容受到认证；修改像素高位后，嵌入的消息仍可能完好。纠错和 CRC 处理传输损坏，AES-GCM 则认证受保护的内容。

攻击者仍可以离线猜测密码。Argon2id 提高了每次猜测的成本，却救不了弱密码。密码无法找回，本文也不声称该实现经过独立安全审计。

不用应用程序读取

这个格式使用现有的密码学原语，明确了限制，并提供独立读取程序。Python 3.12+ 读取程序支持原始 PNG，包括带 JPEG 恢复副本的 PNG；也支持符合限制的单 PNG SnapSeal ZIP 和原始 v3 封装。转换后的 JPEG 文件则需要 TypeScript 编解码器。

本文介绍的是开源 v3 实现，已经部署的旧版读取程序可能拒绝其输出。请在虚拟环境中安装所列依赖。完整源码和可选下载位于代码示例之后。

python -m pip install -r requirements.txt

from getpass import getpass
from pathlib import Path
from decode_snapseal import decode_path

result = decode_path(
    Path("protected.png"),
    getpass("Password: "),
)

output = Path("restored")
output.mkdir(exist_ok=True)
with (output / result.filename).open("xb") as target:
    target.write(result.data)