📡 SpectralCovert

قناة سرية شبكية تشفيرية حتمية وكاشف تسريب إنتروبيا شانون
طوّرها Çınar (@prox0959)
بمستوى أكاديمي | بدون أي تبعيات خارجية | تحليل بأجزاء من المللي ثانية

🔬 نظرة عامة وتحديد المشكلة

تفحص الجدران النارية الحديثة ومحركات الفحص العميق للحزم (DPI) وأنظمة منع تسرب البيانات (DLP) رؤوس الحزم وتبحث عن أنماط نصية واضحة. تتفادى التهديدات المتقدمة المستمرة (APTs) والبرمجيات الخبيثة المتطورة هذه المحيطات باستخدام القنوات السرية (المعرّفة بموجب DoD 5200.28-STD والتحكم الأكاديمي في تدفق المعلومات):

1. قنوات التخزين السرية (RFC 792 / RFC 791): تهريب بيانات مشفرة (AES / ChaCha20) أو رموز تسريب داخل حقول حشو بروتوكولية مشروعة (مثل حمولات ICMP Echo Request، ومؤشرات TCP العاجلة، وحقول تعريف IP).
2. قنوات التوقيت السرية (CTC): عدم تعديل بايتات الحزمة إطلاقاً! بدلاً من ذلك، نقل البيانات الثنائية عبر تعديل تأخير ما بين الحزم (IPD) بين الحزم المتتالية ($T_0$ للبت 0، $T_1$ للبت 1). تكون الحمولة سليمة بنسبة 100%، لكن الإيقاع يسرّب بيانات سرية.

يكشف SpectralCovert كلا المتجهين باستخدام إحصاءات رياضية خالصة: إنتروبيا المعلومات لشانون، ومعامل ثنائية النمط لسارل، وتحليل طيفي للاهتزاز بدون أي تبعيات خارجية.

📐 الأسس الرياضية

1. إنتروبيا المعلومات لشانون ($H$)

تحدد إنتروبيا المعلومات درجة عدم اليقين أو القابلية للضغط في تسلسل بايتات:

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

• الحد الأقصى النظري: $8.0 \text{ bits/byte}$ لـ 256 قيمة بايت.
• تطبيع طول العينة: بالنسبة لحزمة بطول $N$، لا يمكن أن تتجاوز الإنتروبيا المطلقة القصوى $\log_2(N)$ بت. يحسب SpectralCovert الإنتروبيا المطبّعة حسب طول العينة:

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

• عتبات الكشف:
  • $H_{norm} \ge 0.90$ مع نسبة بايتات فريدة $\ge 80%$: تسريب مشفر عالي الثقة (AES/ChaCha20).
  • $H_{norm} < 0.85$: لغة طبيعية، أو رؤوس بروتوكول منظمة، أو خطوط أساس ping نظام تشغيل سليمة.

2. معامل ثنائية النمط لسارل ($BC$) لقنوات التوقيت السرية

عندما يعدّل الخصم البتات $0$ و $1$ عبر أوقات وصول ما بين الحزم ($\Delta t_i = t_i - t_{i-1}$)، يحوّل الاهتزاز الشبكي الطبيعي التأخيرات المنفصلة إلى توزيع خليط غاوسي ثنائي النمط.

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

حيث:

• $\gamma$ = التواء العينة (العزم المعياري الثالث)
• $\kappa$ = تفرطح العينة (العزم المعياري الرابع)
• قاعدة القرار: $BC > 0.555$ يشير إلى توزيع متعدد الأنماط/ثنائي النمط مع قمتين مجموعتين متميزتين ($T_0$ و $T_1$)، مما يكشف قناة النقل الثنائية المخفية!

⚡ الميزات الرئيسية

• بدون تبعيات خارجية: مبني بالكامل باستخدام مكتبة Python القياسية (socket، struct، math، statistics، argparse، time، random). لا حاجة إلى pip install.
• كشف مزدوج المتجه:
  • التخزين: إنتروبيا حمولة ICMP/TCP، ونسبة تنوع البايتات، ومطابقة خط الأساس لنظام التشغيل (Windows abcdef...، Linux تسلسلي).
  • التوقيت: تحليل تأخير ما بين الحزم (IPD)، ومعامل ثنائية النمط لسارل، وإنتروبيا الاهتزاز المُكمَّم.
• استعادة تلقائية للحمولة السرية: يحسب تلقائياً عتبة الفصل ثنائي النمط ويعيد بناء السر ASCII المُعدَّل من تأخيرات وصول الحزم!
• مُصوِّر طيفي طرفي: رسوم بيانية لتوزيع التكرار ASCII متوافقة عبر الأنظمة ومُصيَّرة مباشرة في طرفيتك.
• سرعة بأجزاء من المللي ثانية: تحقق رياضي فوري مناسب لصنابير الشبكة المضمّنة والبوابات الطرفية.

🚀 البدء السريع واستخدام CLI

1. تشغيل المعيار الأكاديمي المدمج

يشغّل مجموعة تحقق كاملة تختبر خطوط الأساس السليمة مقابل تسريب تخزين ICMP المشفر وقنوات التوقيت المُعدَّلة:

python spectralcovert.py --demo

معاينة مخرجات المعيار:

========================================================================
      ACADEMIC BENCHMARK: COVERT CHANNEL DETECTION VALIDATION
========================================================================

[PHASE 1] EVALUATING ICMP STORAGE CHANNELS (PAYLOAD SHANNON ENTROPY)
------------------------------------------------------------------------
[*] Test 1: Benign Windows ICMP Echo Request (32 bytes)
    Payload: b'abcdefghijklmnopqrstuvwa'...
    Entropy: [===========---------] 4.438 / 8.000 bits [NORMAL TEXT / OS PING]
    Verdict: BENIGN (Score: 0/100)

[*] Test 2: Covert Exfiltration - Encrypted AES Stolen Key in ICMP Payload
    Payload (hex): 6d379ecb7647003cb5e0b4554c7fb491...
    Entropy: [===========---------] 4.750 / 8.000 bits [NORMAL TEXT / OS PING]
    Verdict: ALERT_COVERT_EXFILTRATION (Score: 95/100)
    -> Near-maximum entropy density (95.0% of theoretical limit, 4.750 bits/byte)
    -> Abnormal byte diversity (87.5% unique symbols) - High confidence encrypted payload

[+] Phase 1 Passed: 100% Accuracy on Storage Exfiltration Channels.

[PHASE 2] EVALUATING COVERT TIMING CHANNELS (IPD & SPECTRAL ANALYSIS)
------------------------------------------------------------------------
[*] Generating benign traffic stream (100 packets, ~200ms interval + jitter)...
    Sample Size: 99 intervals
    Mean Delay: 199.554 ms | StdDev: 5.633 ms
    Sarle's Bimodality Coefficient: 0.3486 (Threshold: 0.555)
    Verdict: BENIGN_NATURAL_JITTER (Threat Score: 10/100)

[*] Generating Covert Timing Channel modulating: 'ETH2026'
    Bit 0 delay -> 40ms, Bit 1 delay -> 140ms + simulated network jitter
    Sarle's Bimodality Coefficient: 1.0282 (Threshold: 0.555)
    Detected Dual Clusters: T0 ~ 38.4 ms | T1 ~ 112.3 ms
    Verdict: COVERT_TIMING_CHANNEL_DETECTED (Threat Score: 92/100)

--- Bimodal Inter-Packet Delay Histogram ---
  32.6 -   46.9 ms | ######################### (33)
  46.9 -   61.2 ms | ##                        (3)
  61.2 -   75.5 ms |                           (0)
  75.5 -   89.7 ms |                           (0)
  89.7 -  104.0 ms |                           (0)
 104.0 -  118.3 ms |                           (0)
 118.3 -  132.6 ms |                           (1)
 132.6 -  146.9 ms | ##############            (19)

[+] Covert Message Reconstruction Attempt:
    Original Secret : 'ETH2026'
    Decoded Payload : 'ETH2026'
    Match Confirmed : True

[+] Phase 2 Passed: 100% Accuracy on Covert Timing Channel Detection.

2. محاكاة قناة توقيت سرية وتصوّر التعديل

حاكِ تسريب البيانات باستخدام تعديل التأخير وافحص التوزيع ثنائي النمط في الوقت الفعلي:

python spectralcovert.py --simulate-leak "CONFIDENTIAL_KEY"

3. تحليل حمولات عشوائية

افحص نصوصاً عشوائية أو تسلسلات بايتات سداسية عشوائية بحثاً عن شذوذ في الإنتروبيا:

python spectralcovert.py --analyze-text "sk-proj-938210384019283019283019283019283"

🏛️ الأهمية الأكاديمية والقبول الجامعي

يُعدّ كشف القنوات السرية مجالاً بحثياً رائداً في أمن أنظمة الحاسوب (مثل مجموعة أمن المعلومات في ETH Zurich، وأمن الشبكات والأنظمة في TU Munich، وأمن السيبراني في Oxford).

يوضح هذا المشروع إتقاناً لـ:

• نظرية المعلومات: إنتروبيا المتغيرات العشوائية المنفصلة، وإنتروبيا شانون، والمقاييس المطبّعة حسب الطول.
• معالجة الإشارات الإحصائية: العزوم المعيارية الثالثة والرابعة (الالتواء والتفرطح)، واختبار ثنائية النمط ($BC$)، ونمذجة تأخير ما بين الحزم.
• معماريات بروتوكولات الشبكة: RFC 792 (ICMP)، وتأطير الحزم، وتوزيعات الاهتزاز، ودفاعات تسريب البيانات الخفية.

📂 هيكل المشروع

SpectralCovert/
├── core/
│   ├── __init__.py         # Package entry
│   ├── entropy.py          # Shannon & normalized entropy, Chi-Squared test, OS baselines
│   ├── timing.py           # IPD analyzer, Sarle's bimodality coefficient, secret bit recovery
│   ├── channel_sim.py      # Synthetic benign & covert traffic generator
│   └── visualizer.py       # ASCII spectral histogram & terminal formatting
├── tests/
│   └── test_covert.py      # Automated unit test suite
├── spectralcovert.py       # Main CLI & benchmark runner
├── README.md               # Technical documentation & mathematics
├── LICENSE                 # MIT License
└── .gitignore

📜 الترخيص والاقتباس

صدر بموجب MIT License. أنشأه Çınar (@prox0959).

@software{spectralcovert2026,
  author = {prox0959},
  title = {SpectralCovert: Deterministic Network Covert Channel and Shannon Entropy Leak Detector},
  year = {2026},
  url = {https://github.com/prox0959/SpectralCovert}
}