SpectralCovert

Erkennt verdeckte Netzwerkkanäle mithilfe von Shannon-Entropie und Sarles Bimodalitätskoeffizient, um verschlüsselte ICMP/TCP-Payload-Exfiltration und timingbasierte Leaks zu kennzeichnen.

1. Covert Storage Channels (RFC 792 / RFC 791): Schmuggeln verschlüsselter Daten (AES / ChaCha20) oder Exfiltrations-Token in legitimen Protokoll-Padding-Feldern (z. B. ICMP Echo Request Payloads, TCP Urgent Pointer, IP Identification Fields).
2. Covert Timing Channels (CTC): Die Paket-Bytes werden überhaupt nicht verändert! Stattdessen werden Binärdaten übertragen, indem die Inter-Packet Delay (IPD) zwischen aufeinanderfolgenden Paketen moduliert wird ($T_0$ für Bit 0, $T_1$ für Bit 1). Die Payload ist zu 100 % harmlos, aber der Rhythmus leakt vertrauliche Daten.

SpectralCovert erkennt beide Vektoren mithilfe reiner mathematischer Statistik: Shannon-Informationentropie, Sarle's Bimodality Coefficient und Jitter-Spektralanalyse ohne externe Abhängigkeiten.

📐 Mathematische Grundlagen

1. Shannon-Informationentropie ($H$)

Die Informationentropie quantifiziert den Grad der Unsicherheit oder Komprimierbarkeit in einer Byte-Sequenz:

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

• Theoretisches Maximum: $8.0 \text{ bits/byte}$ für 256 Byte-Werte.
• Sample-Length-Normalisierung: Für ein Paket der Länge $N$ kann die absolute maximale Entropie $\log_2(N)$ Bits nicht überschreiten. SpectralCovert berechnet die sample-length-normalisierte Entropie:

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

• Erkennungsschwellen:
  • $H_{norm} \ge 0.90$ mit Unique Byte Ratio $\ge 80%$: Hochkonfidente verschlüsselte Exfiltration (AES/ChaCha20).
  • $H_{norm} < 0.85$: Natürliche Sprache, strukturierte Protokoll-Header oder harmlose OS-Ping-Baselines.

2. Sarle's Bimodality Coefficient ($BC$) für Covert Timing Channels

Wenn ein Angreifer die Bits $0$ und $1$ über die Inter-Packet-Ankunftszeiten ($\Delta t_i = t_i - t_{i-1}$) moduliert, wandelt natürlicher Netzwerk-Jitter die diskreten Verzögerungen in eine bimodale Gaußsche Mischverteilung um.

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

Wobei:

• $\gamma$ = Sample Skewness (3. standardisiertes Moment)
• $\kappa$ = Sample Kurtosis (4. standardisiertes Moment)
• Entscheidungsregel: $BC > 0.555$ deutet auf eine multimodale/bimodale Verteilung mit zwei ausgeprägten Cluster-Peaks ($T_0$ und $T_1$) hin und legt den versteckten binären Übertragungskanal offen!

⚡ Hauptfunktionen

• Keine externen Abhängigkeiten: Vollständig mit der Python-Standardbibliothek erstellt (socket, struct, math, statistics, argparse, time, random). Kein pip install erforderlich.
• Duale Vektorenerkennung:
  • Storage: ICMP/TCP-Payload-Entropie, Byte-Diversitätsverhältnis und OS-Baseline-Abgleich (Windows abcdef..., Linux sequenziell).
  • Timing: Inter-Packet Delay (IPD)-Analyse, Sarle's Bimodality Coefficient und quantisierte Jitter-Entropie.
• Automatisierte Covert-Payload-Wiederherstellung: Berechnet automatisch die bimodale Trennschwelle und rekonstruiert das modulierte ASCII-Geheimnis aus den Paketankunftsverzögerungen!
• Terminal-Spektralvisualisierer: Plattformübergreifende ASCII-Häufigkeitsverteilungs-Histogramme, die direkt in Ihrem Terminal gerendert werden.
• Sub-Millisekunden-Geschwindigkeit: Sofortige mathematische Verifikation, geeignet für Inline-Network-Taps und Edge-Gateways.

🚀 Schnellstart & CLI-Nutzung

1. Integrierten akademischen Benchmark ausführen

Führt eine vollständige Validierungssuite aus, die harmlose Baselines gegen verschlüsselte ICMP-Storage-Exfiltration und modulierte Timing Channels testet:

Vorschau der Benchmark-Ausgabe:

2. Covert Timing Channel simulieren & Modulation visualisieren

Simulieren Sie Datenexfiltration mithilfe von Delay-Modulation und untersuchen Sie die Echtzeit-Bimodalverteilung:

3. Beliebige Payloads analysieren

Untersuchen Sie beliebige Text- oder Hex-Byte-Sequenzen auf Entropie-Anomalien:

🏛️ Akademische Relevanz & Universitätszulassungen

Die Erkennung von Covert Channels ist ein führendes Forschungsgebiet der Computersystemsicherheit (z. B. Information Security Group an der ETH Zürich, Network and System Security an der TU München und Oxford Cyber Security).

Dieses Projekt demonstriert Beherrschung von:

• Informationstheorie: Entropie diskreter Zufallsvariablen, Shannon-Entropie und längen-normalisierte Metriken.
• Statistische Signalverarbeitung: 3. und 4. standardisiertes Moment (Skewness und Kurtosis), Bimodalitätstests ($BC$) und Inter-Packet-Delay-Modellierung.
• Netzwerkprotokollarchitekturen: RFC 792 (ICMP), Paket-Framing, Jitter-Verteilungen und Stealth-Datenexfiltrations-Abwehr.

📂 Projektstruktur

📜 Lizenz & Zitation

Veröffentlicht unter der MIT License. Erstellt von Çınar (@prox0959).