SpectralCovert

Détecte les canaux cachés réseau à l'aide de l'entropie de Shannon et du coefficient de bimodalité de Sarle pour signaler l'exfiltration de charges utiles ICMP/TCP chiffrées et les fuites basées sur le timing.

1. Canaux de Stockage Clandestins (RFC 792 / RFC 791) : Exfiltration de données chiffrées (AES / ChaCha20) ou de jetons d'exfiltration à l'intérieur de champs de remplissage de protocoles légitimes (par exemple, les charges utiles des requêtes ICMP Echo, les pointeurs urgents TCP, les champs d'identification IP).
2. Canaux Temporels Clandestins (CTC) : Ne jamais modifier les octets des paquets ! Au lieu de cela, transmettre des données binaires en modulant le Délai Inter-Paquets (IPD) entre paquets consécutifs ($T_0$ pour le bit 0, $T_1$ pour le bit 1). La charge utile est 100 % bénigne, mais le rythme divulgue des données confidentielles.

SpectralCovert détecte ces deux vecteurs en utilisant des statistiques mathématiques pures : Entropie Informationnelle de Shannon, Coefficient de Bimodalité de Sarle, et Analyse Spectrale de Gigue sans aucune dépendance externe.

📐 Fondements Mathématiques

1. Entropie Informationnelle de Shannon ($H$)

L'entropie informationnelle quantifie le degré d'incertitude ou de compressibilité d'une séquence d'octets :

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

• Maximum Théorique : $8.0 \text{ bits/octet}$ pour 256 valeurs d'octets.
• Normalisation par Longueur d'Échantillon : Pour un paquet de longueur $N$, l'entropie maximale absolue ne peut pas dépasser $\log_2(N)$ bits. SpectralCovert calcule l'entropie normalisée par la longueur de l'échantillon :

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

• Seuils de Détection :
  • $H_{norm} \ge 0.90$ avec un Ratio d'Octets Uniques $\ge 80%$ : Exfiltration chiffrée à haute confiance (AES/ChaCha20).
  • $H_{norm} < 0.85$ : Langage naturel, en-têtes de protocole structurés, ou lignes de base de ping OS bénignes.

2. Coefficient de Bimodalité de Sarle ($BC$) pour les Canaux Temporels Clandestins

Lorsqu'un adversaire module les bits $0$ et $1$ à travers les temps d'arrivée inter-paquets ($\Delta t_i = t_i - t_{i-1}$), la gigue réseau naturelle convertit les délais discrets en une distribution de mélange gaussien bimodale.

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

Où :

• $\gamma$ = Asymétrie de l'Échantillon (3ème moment standardisé)
• $\kappa$ = Kurtosis de l'Échantillon (4ème moment standardisé)
• Règle de Décision : $BC > 0.555$ indique une distribution multimodale/bimodale avec deux pics de clusters distincts ($T_0$ et $T_1$), exposant le canal de transmission binaire caché !

⚡ Caractéristiques Principales

• Zéro Dépendance Externe : Construit entièrement avec la bibliothèque standard Python (socket, struct, math, statistics, argparse, time, random). Aucun pip install requis.
• Détection à Double Vecteur :
  • Stockage : Entropie de la charge utile ICMP/TCP, ratio de diversité des octets, et correspondance avec la ligne de base OS (Windows abcdef..., Linux séquentiel).
  • Temporel : Analyse du délai inter-paquets (IPD), coefficient de bimodalité de Sarle, et entropie de gigue quantifiée.
• Récupération Automatisée de Charge Utile Clandestine : Calcule automatiquement le seuil de séparation bimodal et reconstruit le secret ASCII modulé à partir des délais d'arrivée des paquets !
• Visualiseur Spectral Terminal : Histogrammes de distribution de fréquence ASCII multiplateformes rendus directement dans votre terminal.
• Vitesse Sub-Milliseconde : Vérification mathématique instantanée adaptée aux sondes réseau en ligne et aux passerelles de périphérie.

🚀 Démarrage Rapide & Utilisation CLI

1. Exécuter le Benchmark Académique Intégré

Exécute une suite de validation complète testant les lignes de base bénignes contre l'exfiltration par stockage ICMP chiffré et les canaux temporels modulés :

Aperçu de la Sortie du Benchmark :

2. Simuler un Canal Temporel Clandestin & Visualiser la Modulation

Simulez l'exfiltration de données en utilisant la modulation de délai et inspectez la distribution bimodale en temps réel :

3. Analyser des Charges Utiles Arbitraires

Inspectez des séquences de texte ou d'octets hexadécimaux arbitraires pour détecter des anomalies d'entropie :

🏛️ Pertinence Académique & Admissions Universitaires

La détection de canaux clandestins est un domaine de recherche de premier plan en sécurité des systèmes informatiques (par exemple, le Information Security Group à ETH Zurich, Network and System Security à TU Munich, et Oxford Cyber Security).

Ce projet démontre la maîtrise de :

• Théorie de l'Information : Entropie de variables aléatoires discrètes, entropie de Shannon, et métriques normalisées par la longueur.
• Traitement Statistique du Signal : 3ème et 4ème moments standardisés (Asymétrie et Kurtosis), test de bimodalité ($BC$), et modélisation du Délai Inter-Paquets.
• Architectures de Protocoles Réseau : RFC 792 (ICMP), tramage de paquets, distributions de gigue, et défenses contre l'exfiltration furtive de données.

📂 Structure du Projet

📜 Licence & Citation

Publié sous la Licence MIT. Créé par Çınar (@prox0959).