SpectralCovert

Detecta canales encubiertos de red utilizando la entropía de Shannon y el coeficiente de bimodalidad de Sarle para señalar la exfiltración de cargas útiles ICMP/TCP cifradas y las fugas basadas en temporización.

1. Canales Encubiertos de Almacenamiento (RFC 792 / RFC 791): Introducen datos cifrados (AES / ChaCha20) o tokens de exfiltración dentro de campos de relleno de protocolos legítimos (por ejemplo, cargas útiles de ICMP Echo Request, punteros urgentes TCP, campos de identificación IP).
2. Canales Encubiertos de Temporización (CTC): ¡No modifican ningún byte del paquete en absoluto! En su lugar, transmiten datos binarios modulando el Retardo Entre Paquetes (IPD) entre paquetes consecutivos ($T_0$ para el bit 0, $T_1$ para el bit 1). La carga útil es 100% benigna, pero el ritmo filtra datos confidenciales.

SpectralCovert detecta ambos vectores utilizando estadística matemática pura: Entropía de Información de Shannon, Coeficiente de Bimodalidad de Sarle y Análisis Espectral de Jitter con cero dependencias externas.

📐 Fundamentos Matemáticos

1. Entropía de Información de Shannon ($H$)

La entropía de información cuantifica el grado de incertidumbre o compresibilidad en una secuencia de bytes:

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

• Máximo Teórico: $8.0 \text{ bits/byte}$ para 256 valores de byte.
• Normalización por Longitud de Muestra: Para un paquete de longitud $N$, la entropía máxima absoluta no puede exceder $\log_2(N)$ bits. SpectralCovert calcula la entropía normalizada por longitud de muestra:

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

• Umbrales de Detección:
  • $H_{norm} \ge 0.90$ con Ratio de Bytes Únicos $\ge 80%$: Exfiltración cifrada de alta confianza (AES/ChaCha20).
  • $H_{norm} < 0.85$: Lenguaje natural, cabeceras de protocolo estructuradas o líneas base de ping del SO benignas.

2. Coeficiente de Bimodalidad de Sarle ($BC$) para Canales Encubiertos de Temporización

Cuando un adversario modula los bits $0$ y $1$ a través de los tiempos de llegada entre paquetes ($\Delta t_i = t_i - t_{i-1}$), el jitter natural de la red convierte los retardos discretos en una distribución de mezcla Gaussiana bimodal.

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

Donde:

• $\gamma$ = Asimetría Muestral (3er momento estandarizado)
• $\kappa$ = Curtosis Muestral (4º momento estandarizado)
• Regla de Decisión: $BC > 0.555$ indica una distribución multimodal/bimodal con dos picos de conglomerado distintos ($T_0$ y $T_1$), ¡exponiendo el canal de transmisión binaria oculto!

⚡ Características Principales

• Cero Dependencias Externas: Construido completamente con la biblioteca estándar de Python (socket, struct, math, statistics, argparse, time, random). No requiere pip install.
• Detección de Doble Vector:
  • Almacenamiento: Entropía de carga útil ICMP/TCP, ratio de diversidad de bytes y coincidencia con línea base del SO (Windows abcdef..., Linux secuencial).
  • Temporización: Análisis de retardo entre paquetes (IPD), coeficiente de bimodalidad de Sarle y entropía de jitter cuantizada.
• Recuperación Automatizada de Carga Útil Encubierta: ¡Calcula automáticamente el umbral de separación bimodal y reconstruye el secreto ASCII modulado a partir de los retardos de llegada de los paquetes!
• Visualizador Espectral de Terminal: Histogramas de distribución de frecuencia ASCII multiplataforma renderizados directamente en tu terminal.
• Velocidad Sub-Milisegundo: Verificación matemática instantánea adecuada para taps de red en línea y pasarelas de borde.

🚀 Inicio Rápido y Uso de la CLI

1. Ejecutar Benchmark Académico Integrado

Ejecuta una suite de validación completa que prueba líneas base benignas frente a exfiltración de almacenamiento ICMP cifrada y canales de temporización modulados:

Vista Previa de la Salida del Benchmark:

2. Simular Canal Encubierto de Temporización y Visualizar la Modulación

Simula la exfiltración de datos mediante modulación de retardos e inspecciona la distribución bimodal en tiempo real:

3. Analizar Cargas Útiles Arbitrarias

Inspecciona secuencias de texto o bytes hexadecimales arbitrarias en busca de anomalías de entropía:

🏛️ Relevancia Académica y Admisiones Universitarias

La detección de canales encubiertos es un dominio de investigación de primer nivel en seguridad de sistemas informáticos (por ejemplo, el Information Security Group en ETH Zurich, Network and System Security en TU Munich, y Oxford Cyber Security).

Este proyecto demuestra dominio de:

• Teoría de la Información: Entropía de variables aleatorias discretas, entropía de Shannon y métricas normalizadas por longitud.
• Procesamiento Estadístico de Señales: 3er y 4º momentos estandarizados (Asimetría y Curtosis), pruebas de bimodalidad ($BC$) y modelado de Retardo Entre Paquetes.
• Arquitecturas de Protocolos de Red: RFC 792 (ICMP), framing de paquetes, distribuciones de jitter y defensas contra exfiltración sigilosa de datos.

📂 Estructura del Proyecto

📜 Licencia y Cita

Publicado bajo la Licencia MIT. Creado por Çınar (@prox0959).