📡 SpectralCovert

決定論的暗号ネットワーク隠蔽チャネル & シャノンエントロピー漏洩検出器
開発者: Çınar (@prox0959)
学術グレード | 外部依存ゼロ | サブミリ秒解析

🔬 概要と問題提起

現代のファイアウォール、Deep Packet Inspection (DPI) エンジン、Data Loss Prevention (DLP) システムは、パケットヘッダを検査し、平文パターンを探索します。高度標的型攻撃 (APT) や洗練されたマルウェアは、隠蔽チャネル（DoD 5200.28-STD および学術的な情報フロー制御で定義）を用いてこれらの境界防御を回避します：

隠蔽ストレージチャネル (RFC 792 / RFC 791): 暗号化データ (AES / ChaCha20) や持ち出しトークンを、正当なプロトコルのパディングフィールド（例: ICMP Echo Request ペイロード、TCP urgent pointer、IP identification フィールド）に隠して密輸します。
隠蔽タイミングチャネル (CTC): パケットのバイトを一切変更しません！代わりに、連続するパケット間の パケット間遅延 (IPD) を変調してバイナリデータを送信します（ビット 0 には $T_0$、ビット 1 には $T_1$）。ペイロードは 100% 無害ですが、そのリズムが機密データを漏洩させます。

SpectralCovert は、純粋な数学的統計 — シャノン情報エントロピー、Sarle の双峰性係数、ジッタースペクトル解析 — を用いて両方のベクトルを検出します。外部依存はゼロです。

📐 数学的基礎

1. シャノン情報エントロピー ($H$)

情報エントロピーは、バイト列における不確実性または圧縮可能性の度合いを定量化します：

$$H(X) = - \sum_{i=1}^{n} P(x_i) \log_2 P(x_i)$$

理論的最大値: 256 バイト値に対して $8.0 \text{ bits/byte}$。
サンプル長正規化: 長さ $N$ のパケットにおいて、絶対最大エントロピーは $\log_2(N)$ ビットを超えることはできません。SpectralCovert はサンプル長で正規化したエントロピーを計算します：

$$H_{norm} = \frac{H(X)}{\min(8.0, \log_2(N))}$$

検出しきい値:
- $H_{norm} \ge 0.90$ かつユニークバイト比率 $\ge 80%$: 高信頼度の暗号化持ち出し (AES/ChaCha20)。
- $H_{norm} < 0.85$: 自然言語、構造化プロトコルヘッダ、または無害な OS ping ベースライン。

2. 隠蔽タイミングチャネルに対する Sarle の双峰性係数 ($BC$)

攻撃者がパケット間到着時間 ($\Delta t_i = t_i - t_{i-1}$) にビット $0$ と $1$ を変調すると、自然なネットワークジッターが離散的な遅延を双峰ガウス混合分布に変換します。

$$BC = \frac{\gamma^2 + 1}{\kappa}$$

ここで：

$\gamma$ = 標本歪度（3 次標準化モーメント）
$\kappa$ = 標本尖度（4 次標準化モーメント）
判定規則: $BC > 0.555$ は、2 つの明確なクラスタピーク ($T_0$ と $T_1$) を持つ多峰性/双峰性分布を示し、隠されたバイナリ送信チャネルを露呈させます！

⚡ 主な機能

外部依存ゼロ: Python 標準ライブラリ (socket、struct、math、statistics、argparse、time、random) のみで構築。pip install は不要です。
二重ベクトル検出:
- ストレージ: ICMP/TCP ペイロードエントロピー、バイト多様性比率、OS ベースライン照合（Windows abcdef...、Linux シーケンシャル）。
- タイミング: パケット間遅延 (IPD) 解析、Sarle の双峰性係数、量子化ジッターエントロピー。
隠蔽ペイロードの自動復元: 双峰分離しきい値を自動計算し、パケット到着遅延から変調された ASCII 秘密情報を再構築します！
ターミナルスペクトル可視化: クロスプラットフォームの ASCII 度数分布ヒストグラムをターミナルに直接描画します。
サブミリ秒速度: インラインネットワークタップやエッジゲートウェイに適した瞬時の数学的検証。

🚀 クイックスタート & CLI の使い方

1. 組み込み学術ベンチマークの実行

無害なベースラインと、暗号化された ICMP ストレージ持ち出しおよび変調タイミングチャネルを検証する完全なバリデーションスイートを実行します：

python spectralcovert.py --demo

ベンチマーク出力プレビュー:

========================================================================
      ACADEMIC BENCHMARK: COVERT CHANNEL DETECTION VALIDATION
========================================================================

[PHASE 1] EVALUATING ICMP STORAGE CHANNELS (PAYLOAD SHANNON ENTROPY)
------------------------------------------------------------------------
[*] Test 1: Benign Windows ICMP Echo Request (32 bytes)
    Payload: b'abcdefghijklmnopqrstuvwa'...
    Entropy: [===========---------] 4.438 / 8.000 bits [NORMAL TEXT / OS PING]
    Verdict: BENIGN (Score: 0/100)

[*] Test 2: Covert Exfiltration - Encrypted AES Stolen Key in ICMP Payload
    Payload (hex): 6d379ecb7647003cb5e0b4554c7fb491...
    Entropy: [===========---------] 4.750 / 8.000 bits [NORMAL TEXT / OS PING]
    Verdict: ALERT_COVERT_EXFILTRATION (Score: 95/100)
    -> Near-maximum entropy density (95.0% of theoretical limit, 4.750 bits/byte)
    -> Abnormal byte diversity (87.5% unique symbols) - High confidence encrypted payload

[+] Phase 1 Passed: 100% Accuracy on Storage Exfiltration Channels.

[PHASE 2] EVALUATING COVERT TIMING CHANNELS (IPD & SPECTRAL ANALYSIS)
------------------------------------------------------------------------
[*] Generating benign traffic stream (100 packets, ~200ms interval + jitter)...
    Sample Size: 99 intervals
    Mean Delay: 199.554 ms | StdDev: 5.633 ms
    Sarle's Bimodality Coefficient: 0.3486 (Threshold: 0.555)
    Verdict: BENIGN_NATURAL_JITTER (Threat Score: 10/100)

[*] Generating Covert Timing Channel modulating: 'ETH2026'
    Bit 0 delay -> 40ms, Bit 1 delay -> 140ms + simulated network jitter
    Sarle's Bimodality Coefficient: 1.0282 (Threshold: 0.555)
    Detected Dual Clusters: T0 ~ 38.4 ms | T1 ~ 112.3 ms
    Verdict: COVERT_TIMING_CHANNEL_DETECTED (Threat Score: 92/100)

--- Bimodal Inter-Packet Delay Histogram ---
  32.6 -   46.9 ms | ######################### (33)
  46.9 -   61.2 ms | ##                        (3)
  61.2 -   75.5 ms |                           (0)
  75.5 -   89.7 ms |                           (0)
  89.7 -  104.0 ms |                           (0)
 104.0 -  118.3 ms |                           (0)
 118.3 -  132.6 ms |                           (1)
 132.6 -  146.9 ms | ##############            (19)

[+] Covert Message Reconstruction Attempt:
    Original Secret : 'ETH2026'
    Decoded Payload : 'ETH2026'
    Match Confirmed : True

[+] Phase 2 Passed: 100% Accuracy on Covert Timing Channel Detection.

2. 隠蔽タイミングチャネルのシミュレーションと変調の可視化

遅延変調を用いたデータ持ち出しをシミュレートし、リアルタイムの双峰分布を検査します：

python spectralcovert.py --simulate-leak "CONFIDENTIAL_KEY"

3. 任意のペイロードの解析

任意のテキストまたは 16 進バイト列のエントロピー異常を検査します：

python spectralcovert.py --analyze-text "sk-proj-938210384019283019283019283019283"

🏛️ 学術的意義と大学入試

隠蔽チャネル検出は、コンピュータシステムセキュリティにおける最重要研究領域の一つです（例: ETH Zurich の Information Security Group、TU Munich の Network and System Security、Oxford Cyber Security）。

本プロジェクトは以下に関する習熟を示します：

情報理論: 離散確率変数のエントロピー、シャノンエントロピー、長さ正規化メトリクス。
統計的信号処理: 3 次および 4 次標準化モーメント（歪度と尖度）、双峰性検定 ($BC$)、パケット間遅延モデリング。
ネットワークプロトコルアーキテクチャ: RFC 792 (ICMP)、パケットフレーミング、ジッター分布、ステルスデータ持ち出し防御。

📂 プロジェクト構成

SpectralCovert/
├── core/
│   ├── __init__.py         # Package entry
│   ├── entropy.py          # Shannon & normalized entropy, Chi-Squared test, OS baselines
│   ├── timing.py           # IPD analyzer, Sarle's bimodality coefficient, secret bit recovery
│   ├── channel_sim.py      # Synthetic benign & covert traffic generator
│   └── visualizer.py       # ASCII spectral histogram & terminal formatting
├── tests/
│   └── test_covert.py      # Automated unit test suite
├── spectralcovert.py       # Main CLI & benchmark runner
├── README.md               # Technical documentation & mathematics
├── LICENSE                 # MIT License
└── .gitignore

📜 ライセンスと引用

MIT License の下で公開されています。作成者: Çınar (@prox0959)。

@software{spectralcovert2026,
  author = {prox0959},
  title = {SpectralCovert: Deterministic Network Covert Channel and Shannon Entropy Leak Detector},
  year = {2026},
  url = {https://github.com/prox0959/SpectralCovert}
}

SpectralCovert

人気