אינטרנט ישראל
  • ראשי
  • אודות רן בר-זיק ואינטרנט ישראל
  • ערוץ טלגרם
  • מסטודון
  • התחברו אלי בטוויטר
  • התחברו אלי בלינקדאין
  • ספר ג'אווהסקריפט
  • ראשי
  • אודות רן בר-זיק ואינטרנט ישראל
  • ערוץ טלגרם
  • מסטודון
  • התחברו אלי בטוויטר
  • התחברו אלי בלינקדאין
  • ספר ג'אווהסקריפט
ראשי » רשת האינטרנט » מידע כללי על אינטרנט » סטגנוגרפיה זו לא מילה גסה

סטגנוגרפיה זו לא מילה גסה

רן בר-זיק יולי 21, 2019 7:07 am 10 תגובות

כך אני מעביר מידע סודי על גבי תמונות. שימושי מאוד להמון מקרים.

כדאי תמיד להשאר מעודכנים! אם יש לכם טלגרם, בדקו את ערוץ הטלגרם של האתר שבו אני מעדכן על פוסטים חדשים 🙂 אם אתם רוצים ללמוד תכנות באופן מקיף ומסודר, הצטרפו לאלפי הלומדים בפרויקט "ללמוד ג'אווהסקריפט בעברית" שמלמד לתכנת בג'אווהסקריפט, ב-Node.js ובריאקט וגם מלמד על תרומה לקוד פתוח. גם ספרים דיגיטליים וגם ספרים מודפסים. בשיתוף הקריה האקדמית אונו ובתמיכת חברות מובילות כגון Wix, Outbrain, Elementor, Iron Source, Chegg, Really Good ועוד.

לפני כשבוע בערך הביצה הקטנה בטוויטר שוב רחשה בגלל גילוי נאה של מומחה לאבטחת מידע בשם אדין יוסופוביץ'. הוא בדק קבצי תמונה מפייסבוק ב-hex editor וראה שהם מוסיפים מידע לכל תמונה ומדובר במידע מוצפן הכולל את שם המשתמש ונעשה בכל תמונה שהיא.

#facebook is embedding tracking data inside photos you download.

I noticed a structural abnormality when looking at a hex dump of an image file from an unknown origin only to discover it contained what I now understand is an IPTC special instruction. Shocking level of tracking.. pic.twitter.com/WC1u7Zh5gN

— Edin Jusupovic (@oasace) July 11, 2019

כתבתי על כך מאמר נאה ל'הארץ' כמיטב המסורת (למי שלא יודע, בנוסף לעבודתי הסדירה בורייזון, אני גם כתב לענייני טכנולוגיה ב'הארץ') וחשבתי להרחיב כאן על ענייני הסטגנוגרפיה – לאנשים טכניים יותר.

אז סטגנוגרפיה, למי שלא יודע, זו אמנות הכתיבה המכוסה (זה פירוש השם – סטגנו זה כיסוי וגרפיה זו כתיבה) ובגדול זה אומר להעביר מידע בצורה סודית. מה זאת אומרת? בקריפטוגרפיה אנו מצפינים את המידע אך לא מסתירים אותו. כל אחד יכול לדעת שאני מעביר מידע מוצפן ומטרת הקריפטוגרפיה היא לא להסתיר את עובדת קיום המידע, רק למנוע מאנשים לחטט שם בלי מפתח הצופן המקורי. מטרת הסטגנוגרפיה היא להסתיר את עובדת העברת המידע.

דוגמה? אחת הדוגמאות שאני ממש אוהב היא אקרוסטיכון. קחו למשל את הכתבה המהממת הזו על דוגמנית שנעצרה על העלמת מס. בזמן פרסום הכתבה, שם הדוגמנית היה אסור לפרסום, אבל הכתב השתמש באקרוסטיכון כדי לשדר את המידע החוצה כאשר הוא חבוי בטקסט.

מקור התמונה – הבלוג המומלץ 'מיזבלה' של האחד והיחיד דורי בן ישראל קריו

כמובן שבעולם המחשוב יש לנו דרכים יותר מעניינות. הדרך שיוספוביץ' מצא היא דרך כזו. מה שקורה הוא שאפשר להוסיף לקבצים מסוימים (במיוחד תמונות) מידע בינארי בסוף שלהם. כאשר אנו מציגים את התמונה בדפדפן/עורך תמונות – בגלל שהתוכנה שמציגה את התמונה לא יודעת מה לעשות איתו – היא מתעלמת ממנו. כאשר אנו שומרים את התמונה – היא נשמרת עם המידע הזה כמובן.

בואו ונדגים. תורידו תמונה כלשהי. לא משנה איזו. בואו ונצמיד לה טקסט. איך? ניצור קובץ טקסט פשוט ונשים את התמונה ואת הטקסט באותה תיקיה. עכשיו נמזג אותם מבחינה בינארית – נוסיף את הטקסט לתחתית התמונה. איך?

בחלונות נפתח את ה-CMD שלנו ונקליד:

copy /b picture.jpg + data.txt hidden-data.jpg

אם יש לנו לינוקס/מק אז:

cat picture.jpg data.txt > hidden-data.jpg

נראה שנוצרה לנו תמונה בשם hidden-data.jpg. אם תפתחו אותה, לא תבדילו בינה לבין תמונה אחרת. הנה התמונה שאני יצרתי:

מקור התמונה: Lorem Picsum

אבל יש בתמוה הזו מידע אחר. איך נמצא אותו? בשביל זה אנחנו צריכים להסתכל על המקור הבינארי. אבל כיוון שאף אחד מאיתנו לא יודע להסתכל על 0 ו-1, אנו נסתכל על ה-hex. אפשר לעשות את זה, תאמינו או לא, בעורך אונלייני. נסו את זה למשל – פשוט תעתיקו את כתובת התמונה אליו ותראו את המסר הסודי.

***This is secret data בעורך בינארי
***This is secret data

כמובן שזו דרך יחסית נאיבית, אבל זו דרך. והיא עובדת. אפשר לעשות דברים כאלו לקבצים נוספים. וכמובן שכל סקריפט יכול לקרוא את המידע הזה. וכן, יש לזה לא מעט שימושים. עכשיו אתם יודעים שזה לא קסם וגם איך עושים את זה. תודו שזה מגניב.

כמובן שזה לא סוד גדול ויש ספריות לא מעטות בהמון שפות שעוסקות בכתיבה וקריאה של מידע כזה. גם ניתן להכניס מידע כזה באופן לא פיראטי אלא בצורה מסודרת במקומות שנועדו להכניס מידע כזה.

כדאי תמיד להשאר מעודכנים! אם יש לכם טלגרם, בדקו את ערוץ הטלגרם של האתר שבו אני מעדכן על פוסטים חדשים 🙂 אם אתם רוצים ללמוד תכנות באופן מקיף ומסודר, הצטרפו לאלפי הלומדים בפרויקט "ללמוד ג'אווהסקריפט בעברית" שמלמד לתכנת בג'אווהסקריפט, ב-Node.js ובריאקט וגם מלמד על תרומה לקוד פתוח. גם ספרים דיגיטליים וגם ספרים מודפסים. בשיתוף הקריה האקדמית אונו ובתמיכת חברות מובילות כגון Wix, Outbrain, Elementor, Iron Source, Chegg, Really Good ועוד.
אבטחת מידע

10 תגובות

  1. אורן הגב יולי 21, 2019 בשעה 11:51 am

    שאלת תם בעקבות הפוסט – האם בעצם זה כלי שמאפשר ליירט תמונה המופצת ברשתות כגון וואטסאפ, ואז להגיע (שוב, תיאורטית – כי הקושי האנושי ברור גם הוא) למפיץ ההודעה ולהצליב את הנתון עם המכשיר שאיתו צולמה התמונה?

    • משתמש אנונימי (לא מזוהה) הגב יולי 21, 2019 בשעה 12:09 pm

      ידוע שהמשטרה מגיעה תוך שניה לאנשים שמפיצים תמונות בוואצפ. עכשיו אנחנו מבינים איך…

  2. אריאל הגב יולי 21, 2019 בשעה 11:57 am

    אני קצת מפקפק שהייתה כוונה באקרוסטיכון של הדוגמנית.

    זה לא אות ראשונה של כל משפט או אפילו של כל פסקה ואני משער שאם משנים את המימדים של החלון מאבדים את היישור שמאפשר לקרוא את השם.

    • משתמש אנונימי (לא מזוהה) הגב יולי 21, 2019 בשעה 10:49 pm

      אני לא יודע איך האתר נראה כשהכבה פורסמה

      היום זה לא מתאים מבחינת השורות
      https://www.bizportal.co.il/general/news/article/419915

  3. אני הגב יולי 22, 2019 בשעה 6:02 am

    זו גם דרך לעקוב אחר הפרת זכויות יוצרים

  4. אלון הגב יולי 22, 2019 בשעה 6:00 pm

    דרך מקובלת על ידי ארגוני טרור להעביר מידע.
    תוכנה שקוראת תוים במיקומים (offsets) ידועים מראש (המיקומים משתנים מיום ליום). מי שרוצה לשלוח את המידע מצפין אותו בתוך תמונה שהוא מעלה לרשת. מקבלי ההודעה מורידים את התמונה ומריצים עליה את התוכנה שיוצרת מחדש את המסר הסמוי.

    • מישהו הגב אוגוסט 1, 2019 בשעה 10:05 pm

      בסרטים בעיקר. בפועל יש להם דרכים יותר פשוטות להעביר מידע, כפי שכל אחד היה משתמש. למשל הפעם ההיא שהתפרסם שהם תקשרו באמצעות תיבת טיוטות של אותה תיבת מייל וכך שרותי סריקת מיילים שנשלחים לא עלו על זה. סטגנוגרפיה בפשיעה יותר שימושית במקרה של מסרים חד פעמיי כגון קריאה לפעולה (כמו במילואים אצלנו)

  5. an הגב יולי 24, 2019 בשעה 12:37 am

    ניסיתי להריץ את זה ועבד לי. אך לאחר מכן ניסיתי להעביר את התמונה דרך הוואטסאפ ולראות אם עדיין המסר נשאר אך ללא הצלחה. האם עשיתי משהו לא נכון? או שזו ההצפנה של וואטסאפ שהפריעה למסר לעבור? ואם כן אז איך ההצפנה של פייסבוק לא מפריעה לו לעבור? או שזה מוטמע…

    • מרדכי הגב יולי 25, 2019 בשעה 3:36 pm

      ההצפנה של פייסבוק יוצרת את זה לכן זה לא נמחק

    • משתמש אנונימי (לא מזוהה) הגב אוגוסט 1, 2019 בשעה 10:02 pm

      א. וואטסאפ ממירה את התמונה. כנראה שהאלגוריתם שלהם לוקח רק את הקטע של התמונה מהבינארי בלי כל ה Headers ולכן שינויים בקובץ לא יעברו למעט השינוי שלהם.
      ב. פייסבוק עושים את הסטגנוגרפיה בצורה יותר חכמה מלהדביק בסוף עוד קובץ.

השארת תגובה

ביטול

ללמוד ג'אווהסקריפט בעברית

ללמוד לתכנת ג'אווהסקריפט בעברית שגייס יותר משלוש מאות אלף שקל ולמעלה מ-2000 תומכים - בואו ללמוד עכשיו איך לתכנת.

רשימת הנושאים
  • מדריכים
    • ריאקט
    • טייפסקריפט
    • ECMAScript 6
    • ES20XX
    • Node.js
    • Express
    • רספברי פיי
    • Babel
    • docker
    • MongoDB
    • Git
    • לימוד MySQL
    • SASS
    • jQuery
    • CSS3
    • HTML 5
    • SVN
    • LESS
  • פיתוח אינטרנט
    • פתרונות ומאמרים על פיתוח אינטרנט
    • jQuery Scripts
    • jQuery למתקדמים
    • יסודות בתכנות
    • נגישות אינטרנט
  • חדשות אינטרנט
  • מידע כללי על אינטרנט
    • רשת האינטרנט
    • בניית אתרי אינטרנט
  • rss logo

    לכל המאמרים

    לכל המאמרים שפורסמו באינטרנט ישראל משנת 2008 ועד עכשיו.
  • rss logo

    RSS Feed

    משתמשים בקורא RSS? אם כן, עקבו אחרי אינטרנט ישראל באמצעות פיד ה-RSS!
    מה זה RSS?
  • Twitter logo

    עקבו אחרי בטוויטר

    בחשבון הטוויטר שלי אני מפרסם עדכונים מהירים על חדשות בתחום התכנות והיזמות, התרעות על מצבי חירום ורכילות בוערת על תחום הווב.
    מה זה טוויטר?
  • facebook like image

    ערוץ הטלגרם של אינטרנט ישראל

    בערוץ הטלגרם של אינטרנט ישראל אני מפרסם את הפוסטים של באתר וכן עדכונים טכנולוגיים נוספים.
    מה זה טלגרם?
  • github logo

    הפרויקטים שלי בגיטהאב

    הפרויקטים שאני כותב ושוחררו לציבור ברישיון קוד פתוח נמצאים ברובם בגיטהאב.
חיפוש

כל הזכויות שמורות לרן בר-זיק ולאינטרנט ישראל | מדיניות הפרטיות של אתר אינטרנט ישראל | אתר אינטרנט ישראל נגיש לפי תקן WCAG 2.0 AA | הצהרת הנגישות של האתר | אבטחת מידע ודיווח על בעיית אבטחת מידע

גלילה לראש העמוד