StegCloak

La Capa de Invisibilidad para tus textos

StegCloak es un módulo de esteganografía puro en JavaScript diseñado con un estilo de programación funcional, para ocultar secretos dentro de texto comprimiendo y cifrando el secreto antes de camuflarlo con caracteres Unicode invisibles especiales. Puede usarse para marcar cadenas de manera segura, scripts invisibles en páginas web, textos en redes sociales o para cualquier otra comunicación encubierta. ¡Completamente invisible! Vea cómo funciona en profundidad en este artículo de Medium o vea nuestra demostración para saber qué hace.

Características

• Protege tu secreto invisible usando contraseñas e integridad HMAC.
• Criptográficamente seguro al cifrar el secreto invisible con AES-256-CTR.
• Utiliza 6 caracteres invisibles en Unicode que funcionan en toda la web: Twitter, Gmail, WhatsApp, Telegram, Instagram, Facebook, ¡y muchos más!
• Compresión máxima para reducir la carga útil (LZ, Huffman).
• Completamente invisible, usa caracteres de ancho cero en lugar de espacios o tabulaciones.
• ¡Súper rápido! Oculta el código fuente de la página de Wikipedia sobre esteganografía (800 líneas y 205362 caracteres) dentro de un texto de portada de 3 palabras en menos de un segundo.
• Ocultar archivos en cadenas se puede lograr subiendo el archivo a la nube y esteganografiando el enlace en la cadena.
• Escrito en estilo puramente funcional.
• Uso: disponible como módulo API, CLI y también una Interfaz Web (optimizada con web workers).

Instalación

Usando npm,

$ npm install -g stegcloak

Usando npm (para usarlo localmente en tu programa),

$ npm install stegcloak

Cómo funciona

Uso desde CLI

Ocultar

$ stegcloak hide

Opciones:

  hide [options] [secret] [cover]

  -fc, --fcover <file>      Extraer texto de portada desde un archivo
  -fs, --fsecret <file>     Extraer texto secreto desde un archivo
  -n, --nocrypt             Si no necesitas cifrado (por defecto: false)
  -i, --integrity           Si se necesita seguridad adicional contra manipulación (por defecto: false)
  -o, --output <output>     Enviar los resultados a un archivo de salida
  -c, --config <file>       Archivo de configuración
  -h, --help                mostrar ayuda del comando

Revelar

$ stegcloak reveal       

Opciones:

  reveal [message]

  -f, --file <file>       Extraer mensaje desde un archivo
  -cp, --clip             Copiar mensaje directamente del portapapeles
  -o, --output <output>   Enviar el secreto a un archivo de salida
  -c, --config <file>     Archivo de configuración
  -h, --help              mostrar ayuda del comando

Soporte adicional

• La variable de entorno STEGCLOAK_PASSWORD, si está definida, se usará por defecto como contraseña.

• Soporte de archivo de configuración para configurar el CLI de StegCloak y evitar avisos interactivos. Lea la documentación de configuración aquí.

Uso desde la API

const StegCloak = require('stegcloak');

const stegcloak = new StegCloak(true, false);  // Inicializa con cifrado true y hmac false para ocultar

// Estos argumentos se usan solo durante el ocultamiento

// Se pueden cambiar después activando los flags booleanos stegcloak.encrypt y stegcloak.integrity

¿Qué es HMAC y lo necesito?

HMAC es un paso adicional de seguridad de huella digital para evitar la manipulación de textos y verificar que el mensaje recibido fue realmente enviado por el remitente previsto. Si los datos se envían a través de WhatsApp, Messenger o cualquier plataforma de redes sociales, ¡esto ya está cubierto! Sin embargo, si estás usando StegCloak en tu programa para transmitir y recuperar de forma segura, esta opción se puede habilitar y StegCloak se encarga de ello.

Ocultar

stegcloak.hide(secret, password, cover) -> string

const magic = stegcloak.hide("Voldemort is back", "mischief managed", "The WiFi's not working here!");

// Usa los booleanos stegcloak.encrypt y stegcloak.integrity para ofuscar

console.log(magic);  // The WiFi's not working here!

Revelar

stegcloak.reveal(data, password) -> string

const secret = stegcloak.reveal(magic, "mischief managed");

// Detecta automáticamente si se realizaron cifrado o comprobaciones de integridad durante el ocultamiento y actúa en consecuencia

console.log(secret); // Voldemort is back

Este increíble blog de Francesco Soncina muestra cómo podrías usar la API de StegCloak para marcar cualquier texto en tu sitio web.

Importante

StegCloak no resuelve el problema de Alice-Bob-Warden; es poderoso solo cuando la gente no lo está buscando y te ayuda a lograrlo muy bien, dadas sus propiedades invisibles en la web. Puede usarse de forma segura para marcar en foros, tweets invisibles, redes sociales, etc. Por favor, no lo uses cuando sepas que hay alguien rastreando activamente tus datos, observando los caracteres Unicode a través de una herramienta de análisis de datos. En ese caso, aunque el secreto codificado no pueda descifrarse, el hecho es que el Guardián (intermediario) sabría que ocurrió alguna comunicación secreta, porque habría notado una cantidad inusual de caracteres invisibles especiales.

Contribuciones

Las solicitudes de extracción (pull requests) son bienvenidas. Para cambios importantes, por favor abre primero un issue para discutir lo que te gustaría cambiar.

Licencia

MIT - Copyright (c) 2020 Jyothishmathi CV, Kandavel A, Mohanasundar M

Agradecimientos

El logotipo de StegCloak fue diseñado por Smashicons.