SpectralCovert

Rileva canali nascosti di rete utilizzando l'entropia di Shannon e il coefficiente di bimodalità di Sarle per segnalare esfiltrazioni di payload ICMP/TCP cifrati e perdite basate sul timing.

1. Canali Covert di Memorizzazione (RFC 792 / RFC 791): Trasporto clandestino di dati cifrati (AES / ChaCha20) o token di esfiltrazione all'interno di campi di padding legittimi del protocollo (ad esempio, payload di ICMP Echo Request, puntatori urgenti TCP, campi di identificazione IP).
2. Canali Covert di Temporizzazione (CTC): Nessuna modifica ai byte del pacchetto! Invece, trasmissione di dati binari modulando il Ritardo Inter-Pacchetto (IPD) tra pacchetti consecutivi ($T_0$ per il bit 0, $T_1$ per il bit 1). Il payload è benigno al 100%, ma il ritmo fa trapelare dati riservati.

SpectralCovert rileva entrambi i vettori utilizzando pura statistica matematica: Entropia Informatica di Shannon, Coefficiente di Bimodalità di Sarle e Analisi Spettrale del Jitter con zero dipendenze esterne.

📐 Fondamenti Matematici

1. Entropia Informatica di Shannon ($H$)

L'entropia informatica quantifica il grado di incertezza o comprimibilità in una sequenza di byte:

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

• Massimo Teorico: $8.0 \text{ bit/byte}$ per 256 valori di byte.
• Normalizzazione sulla Lunghezza del Campione: Per un pacchetto di lunghezza $N$, l'entropia massima assoluta non può superare $\log_2(N)$ bit. SpectralCovert calcola l'entropia normalizzata sulla lunghezza del campione:

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

• Soglie di Rilevamento:
  • $H_{norm} \ge 0.90$ con Rapporto di Byte Unici $\ge 80%$: Esfiltrazione cifrata ad alta confidenza (AES/ChaCha20).
  • $H_{norm} < 0.85$: Linguaggio naturale, intestazioni di protocollo strutturate o baseline ping del sistema operativo benigno.

2. Coefficiente di Bimodalità di Sarle ($BC$) per Canali Covert di Temporizzazione

Quando un avversario modula i bit $0$ e $1$ attraverso i tempi di arrivo inter-pacchetto ($\Delta t_i = t_i - t_{i-1}$), il jitter naturale della rete converte i ritardi discreti in una distribuzione gaussiana mista bimodale.

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

Dove:

• $\gamma$ = Asimmetria Campionaria (3° momento standardizzato)
• $\kappa$ = Curtosi Campionaria (4° momento standardizzato)
• Regola Decisionale: $BC > 0.555$ indica una distribuzione multimodale/bimodale con due picchi distinti di cluster ($T_0$ e $T_1$), esponendo il canale di trasmissione binario nascosto!

⚡ Caratteristiche Principali

• Zero Dipendenze Esterne: Costruito interamente con la libreria standard di Python (socket, struct, math, statistics, argparse, time, random). Nessun pip install richiesto.
• Rilevamento a Doppio Vettore:
  • Memorizzazione: Entropia del payload ICMP/TCP, rapporto di diversità dei byte e corrispondenza con la baseline del sistema operativo (Windows abcdef..., Linux sequenziale).
  • Temporizzazione: Analisi del ritardo inter-pacchetto (IPD), coefficiente di bimodalità di Sarle ed entropia del jitter quantizzata.
• Recupero Automatico del Payload Covert: Calcola automaticamente la soglia di separazione bimodale e ricostruisce il segreto ASCII modulato dai ritardi di arrivo dei pacchetti!
• Visualizzatore Spettrale da Terminale: Istogrammi di distribuzione delle frequenze ASCII multipiattaforma renderizzati direttamente nel tuo terminale.
• Velocità Sub-Millisecondo: Verifica matematica istantanea adatta per tap di rete inline e gateway edge.

🚀 Avvio Rapido & Utilizzo da CLI

1. Esegui il Benchmark Accademico Integrato

Esegue una suite di validazione completa che testa baseline benigne rispetto a esfiltrazione cifrata tramite memorizzazione ICMP e canali di temporizzazione modulati:

Anteprima dell'Output del Benchmark:

2. Simula un Canale Covert di Temporizzazione & Visualizza la Modulazione

Simula l'esfiltrazione di dati tramite modulazione del ritardo e ispeziona la distribuzione bimodale in tempo reale:

3. Analizza Payload Arbitrari

Ispeziona testo arbitrario o sequenze di byte esadecimali per anomalie di entropia:

🏛️ Rilevanza Accademica & Ammissioni Universitarie

Il rilevamento dei canali covert è un dominio di ricerca di primo piano nella sicurezza dei sistemi informatici (ad esempio, Information Security Group presso ETH Zurich, Network and System Security presso TU Munich e Oxford Cyber Security).

Questo progetto dimostra padronanza di:

• Teoria dell'Informazione: Entropia di variabili casuali discrete, entropia di Shannon e metriche normalizzate sulla lunghezza.
• Elaborazione Statistica dei Segnali: 3° e 4° momento standardizzato (Asimmetria e Curtosi), test di bimodalità ($BC$) e modellazione del Ritardo Inter-Pacchetto.
• Architetture dei Protocolli di Rete: RFC 792 (ICMP), framing dei pacchetti, distribuzioni del jitter e difese contro l'esfiltrazione stealth di dati.

📂 Struttura del Progetto

📜 Licenza & Citazione

Rilasciato sotto Licenza MIT. Creato da Çınar (@prox0959).