Informationssicherheit ist ein Prozess und lässt sich wie folgt definieren: (1) Die fundierte Gewährleistung eines Gleichgewichts zwischen Informationsrisiken und angewandten Kontrollmaßnahmen. (2) Der Zustand des Schutzes, d. h. die Abwesenheit von Gefahren. Jede moderne Organisation sollte mehrere Sicherheitsebenen implementieren: physische Sicherheit, Personensicherheit, operative Sicherheit, Kommunikationssicherheit, Netzwerksicherheit sowie Daten- und Computersicherheit. Dies erfordert Instrumente wie Richtlinien, Sensibilisierung, Schulungen, Weiterbildung und Technologie. Steganografie findet zunehmend und weit verbreitet Anwendung in der Informationssicherheit in verschiedenen Bereichen wie Datenschutz und Anonymität, Urheberrechtskontrolle, Suchmaschinenoptimierung für Bilder, intelligente Identifikatoren, bei denen individuelle Daten in Fotos eingebettet werden, Audio-Video-Synchronisation, TV- und IP-Paketübertragung, Prüfsummeneinbettung und in medizinischen Bildgebungssystemen, wo die Vertraulichkeit von Patientenbildern von deren Beschriftungen (z. B. Name des Patienten, Arzt, Adresse usw.) getrennt werden muss. Steganografie wird auch als Alternative oder Ergänzung zur Verschlüsselung eingesetzt, da Menschenrechtsorganisationen sie benötigen, weil Verschlüsselung in vielen Ländern und Umgebungen verboten ist. Sie wird auch seit langem in illegalen Anwendungen verwendet. Beispielsweise nutzen Virenprogrammierer Steganografie, um Trojaner und andere Schadsoftware zu verbreiten. Daher ist es heutzutage notwendig, Bild-, Audio- und Videodateien mithilfe von Steganalyse-Tools auf versteckte Bedrohungen zu überprüfen. Darüber hinaus ist ein ungewöhnlicher Anstieg koordinierter krimineller und sogar terroristischer Angriffe auf Basis von Steganografie zu verzeichnen. Den Kontext der Wechselwirkung zwischen Steganografie und Mobiltelefonen können Sie unter folgender URL einsehen: http://news.bbc.co.
uk/go/pr/fr/-/1/hi/technology/6361891.stm Eine Anwendung, bei der durch Erfassen und Senden des Fotos eines Bildes, eines JAN-Barcodes oder eines QR-Codes ein entfernter Server bestimmte Inhalte zurückgeben kann.
Steganografie und Sicherheit.
Steganografie ermöglicht es, die Existenz und den Zugriff auf Daten zu verschleiern und sie so vor unbefugter und unerwünschter Überwachung zu schützen. Neben der Steganografie gibt es weitere Methoden zur Gewährleistung der Vertraulichkeit geheimer Daten: (1) Verschlüsselung. Dabei werden Klartextdaten mithilfe mathematischer Operationen in eine alternative Form, den sogenannten Geheimtext, umgewandelt. Verschlüsselte Daten können nur von autorisierten Personen verstanden werden, die über die Schlüssel zur Entschlüsselung des Geheimtextes oder Kryptogramms verfügen. Die Verschlüsselung verbirgt nicht die Existenz der Daten, sondern deren Inhalt, also deren Bedeutung. (2) Verstecken von Verzeichnissen in Windows. Windows ermöglicht es Benutzern, Dateien auszublenden. Mithilfe dieser Funktion lassen sich die Eigenschaften eines Verzeichnisses einfach ändern, um es auszublenden, sodass ein unbefugter Benutzer nicht alle Dateitypen mit dem Datei-Explorer sehen kann. (3) Verstecken von Verzeichnissen in Unix. Bei bestehenden Verzeichnissen mit vielen Dateien, wie beispielsweise dem Verzeichnis `/dev` in einer Unix-Umgebung, wird der Verzeichnisname mit drei Punkten (...) anstatt der üblichen ein oder zwei Punkte begonnen. (4) Verdeckte/Subliminale Kanäle. Es gibt Tools, mit denen sich wertvolle Daten über scheinbar normalen Netzwerkverkehr übertragen lassen. Ein solches Tool ist Loki, das geheime Daten im ICMP-Verkehr (z. B. Ping) versteckt. Steganografie ermöglicht es, geheime Informationen in verschiedensten Trägermedien (scheinbar harmlose Medien, die unbemerkt bleiben können) zu platzieren, wie z. B. Bilder, Audiodateien, Videodateien, Textdateien, Speicherplatz, versteckte Festplattenpartitionen, Pakete im Netzwerkverkehr (üblicherweise in PDU-Headern), Software, Hardware usw.
Arten von Steganografie-Techniken:
Es gibt viele verschiedene Techniken der Steganografie, um geheime Informationen zu verbergen. Diese lassen sich wie folgt klassifizieren:
(1) Substitutionsverfahren. Hierbei werden Bits des Trägerbildes oder des unverdächtigen Deckbildes durch die Bits der zu verbergenden Nachricht ersetzt. Zu den möglichen Techniken gehören Bitplane- und farbpalettenbasierte Verfahren. Bitplane-Verfahren verwenden beispielsweise Bilder als Träger. Dabei wird das LSB (Least Significant Bit) der Bildintensität durch die Bits der Nachricht ersetzt. Ein, zwei, drei oder vier LSBs werden durch die Bits der geheimen Nachricht oder der zu verbergenden Bilddaten ersetzt. Die Daten werden als Bildrauschen verborgen. Auf diese Weise lassen sich große Datenmengen verbergen. Allerdings ist diese Methode sehr anfällig für Manipulationen des resultierenden Bildes, das die geheimen Informationen im Trägerbild verbirgt. Varianten von Bitplane-Verfahren verwenden eine Permutation der Pixelpositionen, an denen Bits verborgen werden, entweder durch den Einsatz von Pseudozufallszahlengeneratoren (PRNGs), deren Modulus der Bildgröße (Anzahl der Pixel) entspricht. Farbpalettenbasierte Verfahren basieren auf der Änderung der Farb- oder Graustufenpalette, die die Bildfarben repräsentiert. Die LSB-Einfügung (Least Significant Bit) ist die gängigste und beliebteste Methode und nutzt das LSB der Bildpixelinformationen. Dadurch wird die Gesamtverzerrung minimiert, während die Nachricht über die Bildpixel verteilt wird. Diese Technik eignet sich am besten, wenn die Bilddatei größer als die geheime Nachricht ist und es sich um ein Graustufenbild handelt.
(2) Signalverarbeitungsbasierte Verfahren. Beispiele hierfür sind Transformationsverfahren wie Fourier-Transformation, Wavelet-Transformation, DCT usw. sowie Spread-Spectrum-Verfahren. Diese auch als algorithmus- und transformationsbasierte Verfahren bezeichneten Methoden verbergen Daten mithilfe mathematischer Funktionen, die in Kompressionsalgorithmen verwendet werden. Die Idee dahinter ist, die geheime Nachricht in den Datenbits der niedrigstwertigen Koeffizienten zu verbergen.
(3) Codierungsverfahren. Beispiele hierfür sind Quantisierung, Fehlerkorrekturcodes, Dithering usw.
(4) Statistische Verfahren. Diese basieren auf Hypothesentests.
(5) Trägergenerierungsverfahren. Beispiele hierfür sind Verfahren, die auf Fraktalen und Chaos basieren.
(6) Maskierungs- und Filterverfahren. Mithilfe von DWM (Digital Watermarking) werden Informationen in ein Bild eingebettet, darunter Angaben zu Urheberrechten, Eigentumsrechten oder Lizenzen. Im Gegensatz zur traditionellen Steganografie wird hierbei dem Trägerbild ein Attribut hinzugefügt, wodurch die Menge der präsentierten Informationen erweitert wird.
Schlussbetrachtungen
Unsere Forschungsgruppe arbeitet seit mehr als zwanzig Jahren auf dem Gebiet der Anwendung von Steganographie in der Synthese, Analyse und Bewertung von Steganosystemen, um einen Mehrwert im sehr umfangreichen Bereich der Informationssicherheit zu schaffen, der heute in den Informations- und Kommunikationstechnologien von zentraler Bedeutung ist.
Dieser Artikel ist Teil der Aktivitäten, die im Rahmen des LEFIS-APTICE-Projekts (finanziert von Socrates, Europäische Kommission) durchgeführt wurden.
Literatur
- Areitio, J. „Informationssicherheit: Netzwerke, Computer und Informationssysteme“. Cengage Learning-Paraninfo. 2009.
- Areitio, J. „Analyse von Technologien zur Informationsverschleierung“. Conectrónica Magazine. Nr. 109. Juli-August 2007.
- Areitio, J. „Analyse von forensischer Sicherheit, Anti-Forensik-Techniken, Reaktion auf Sicherheitsvorfälle und Management digitaler Beweismittel“. Conectrónica Magazine. Nr. 125. März 2009.
– Steganografie-Tools: F5 (http://wwwrn.inf.tu-dresden.de/~westfeld/f5.html), S-Tools v4 (http://members.tripod.com/steganography/stego/s-tools4.html), MP3Stego (http://www.cl.cam.ac.uk/~fapp2/steganography/mp3stego/), EzStego (http://online.securityfocus.com/tools/586/scoreit/), Hide and Seek v4.1 (ftp://ftp.csua.berkeley.edu/pub/cypherpunks/steganography/), Hide4PGP (http://www.heinz-repp.onlinehome.de/Hide4PGP.htm), Jpeg-Jsteg (ftp://ftp.funet.fi/pub/crypt/steganography/), Hide and Seek für Win95 (ftp://ftp.hacktic.nl/pub/crypto/incoming/), Mandelsteg (ftp://idea.sec.dsi.unimi.it/pub/security/crypt/code/), Steganos (http://www.steganos.com/en/), OutGuess (http://www.outguess.org/download.php), White Onyx Store (ftp://ftp.esua.berkeley.edu/pub/cypherpunks/steganography).
Autor:
Prof. Dr. Javier Areitio Bertolín – E-Mail:
Professor an der Fakultät für Ingenieurwissenschaften, ESIDE.
Direktor der Forschungsgruppe Netzwerke und Systeme an der Universität Deusto.
