bztsrc/steganoPlattformübergreifende Steganographie-App mit GUI, CLI und WebService, unterstützt WEBP und AES.
Kurz gesagt, Steganographie ist die Kunst, Nachrichten in einem anderen Medium in aller Öffentlichkeit zu verstecken, ohne dass die Leute es merken. Diese Implementierung liest Bilder in gängigen Webformaten (WEBP, PNG, GIF, JPEG) ein, versteckt den (optional verschlüsselten) Text darin und speichert das Ergebnis als WEBP-Bild. Sie können dieses neue Bild dann auf jede öffentliche Website, in Foren, bei Insta, im FB-Chat hochladen, an E-Mails anhängen usw. Niemand wird etwas ahnen, niemand wird wissen, dass sich tatsächlich eine Nachricht in dem Bild befindet, es sei denn, Sie sagen es ihnen ausdrücklich (und wenn eine Verschlüsselung verwendet wurde, benötigen sie natürlich auch das richtige Passwort).
Wählen Sie ein Eingabebild aus (entweder per URL oder aus einer lokalen Datei)
Geben Sie optional ein Passwort ein (falls Sie eine zusätzliche militärische Verschlüsselung wünschen)
3/a. Drücken Sie Load, um die Nachricht in einem Bild zu überprüfen. Wenn keine Nachricht vorhanden ist oder Ihr Passwort falsch ist, sehen Sie möglicherweise Kauderwelsch.
3/b. Geben Sie Ihre Nachricht ein und drücken Sie Save. Ein neues Bild (mit der versteckten Nachricht darin) wird gespeichert; verwenden Sie diese Datei nach Belieben.
Gehen Sie zur Website.
Laden Sie für Linux (GTK) und Windows (GDI) herunter. Dies sind portable ausführbare Dateien, die keine Installation erfordern und keine Spuren auf Ihrem Rechner hinterlassen. Die GUI sieht genauso aus und funktioniert genauso wie der Webservice.
Laden Sie für Linux und Windows herunter (beide nur libc). Geben Sie dann Folgendes ein:
./stegano-cli <image file>
./stegano-cli -p <password> <image file>
um die Nachricht in einem Bild auf stdout auszugeben, und
./stegano-cli <image file> <message>
./stegano-cli -p <password> <image file> <message>
um eine Nachricht in eine neue .webp-Bilddatei zu kodieren (dies könnte die Originaldatei überschreiben). Genau wie beim Webservice ist das Passwort optional. Anders als die GUI-Version oben hat die Kommandozeilenversion überhaupt keine Abhängigkeiten, sie Funktioniert Einfach(tm) überall.
Führen Sie einfach make im src-Verzeichnis aus, es ist suckless. Zum Kompilieren werden nur emscriptens emcc und gcc benötigt (die Linux-GUI-Version benötigt auch pkg-config und GTK, GDK, Pango, Cairo usw., die übliche GTK-Bloatware).
make wasm, wenn Sie nur die WebAssembly-Version kompilieren möchten (das erforderliche Boilerplate-HTML befindet sich im public-Verzeichnis).make cli, wenn Sie nur die Kommandozeilenversion kompilieren möchten (völlig abhängigkeitsfrei, sollte auf jedem POSIX-System funktionieren).make gui, wenn Sie nur die grafische Benutzeroberfläche kompilieren möchten (für Windows GDI, sonst abhängig von GTK).Wenn Sie ein Passwort angegeben haben, wird Ihr Text zunächst verschlüsselt. Dann wird das Bild in einen Pixelpuffer dekomprimiert, wo die Bits Ihrer (verschlüsselten) Nachricht in der Helligkeit der Farbkanäle gespeichert werden. Dies führt zu sehr leichten Wellenmustern im Bild, die für das bloße menschliche Auge völlig unsichtbar sind (und ohne Vergleich mit dem Originalbild auch für Computer völlig unsichtbar).
Beim Laden wird das Bild erneut in einen Pixelpuffer dekomprimiert, und diese Helligkeitswellen in den Farbkanälen werden in einen zusammenhängenden Bit-Chunk konvertiert. Wenn ein Passwort angegeben ist, wird der Bit-Chunk entschlüsselt. Die endgültige Nachricht wird auf UTF-8-Gültigkeit überprüft, und wenn sie gültig ist, wird sie angezeigt. (Diese UTF-8-Prüfung ist notwendig, da niemand sagen kann, ob sich wirklich eine Nachricht im Bild befindet oder ob das angegebene Passwort korrekt war oder nicht.)
Die Nachricht wird als nullterminierter UTF-8-Multibyte-Stream gespeichert, in dem nur die Steuersequenzen \t (horizontaler Tabulator), \r (Wagenrücklauf) und \n (Zeilenvorschub) erlaubt sind. Beim Zurückladen konvertiert die Windows-GUI-Version einzelne \n-Zeichen in \r\n CRLF-Sequenzen. Beim Speichern akzeptiert die CLI-Version die Zwei-Byte-Zeichensequenzen \+t, \+r, \+n und konvertiert sie in die entsprechenden Ein-Byte-Steuerzeichen.
Für die Verschlüsselung wird die Nachricht mit Nullen aufgefüllt, um ihre Länge zu einem Vielfachen von 16 zu machen, und dann wird zunächst sha256(salt+sha256(password)) berechnet, was 32 binäre Bytes ergibt, von denen 16 aufeinanderfolgende Bytes als AES-256-CBC-iv verwendet werden, beginnend mit dem Wert des 4. Bytes modulo 16. Der AES-256-CBC-Schlüssel wird dann als sha256(sha256(salt+sha256(password))+salt) initialisiert (die Verwendung von sha von sha macht einen Rainbow-Hashing-Angriff gegen das Passwort extrem schwierig, wenn nicht unmöglich). Der Salt ist Libre Steganography Standard.
Für die Pixel werden alle Bilder in 32-Bit-gepackte RGBA-Pixelpuffer konvertiert. Die beiden niederwertigsten Bits jedes der vier Kanäle werden verwendet, um 8 Bits der Nachricht zu speichern (was 1 Nachrichtenbyte pro 1 Trägerpixel ergibt). Es werden nur Pixel mit Alphakanal größer als 3 zum Speichern verwendet, und alle Versionen melden die Anzahl dieser Pixel als "Kapazität N Bytes."
1 message byte's bits (7 MSB, 0 LSB): 76543210
1 carrier pixel (alpha last, red first byte): rrrrrr76 gggggg32 bbbbbb54 aaaaaa10 (a!=0)
(Dieser nicht-transparente Hack ist notwendig, da der WEBP-Codec nicht so verlustfrei ist, wie er behauptet. Bei Alpha größer als 3 ist gewährleistet, dass das Pixel nicht transparent ist, selbst wenn die kodierten Bits Null sind.)
Dieses Steganographie-Werkzeug ist unter den Bedingungen der GPLv3+ (oder einer späteren Version dieser Lizenz) lizenziert. Es ist statisch mit stb_image (Public Domain) und libwebp (lizenziert unter BSD-3-Clause) verlinkt. Die SHA-Hash- und AES-Kodierer/Dekodierer-Teile sind Inline-Code (von mir persönlich geschrieben), es wird überhaupt keine Kryptobibliothek von Drittanbietern benötigt.
Viele Grüße, bzt