Fayl tizimlarida vaqt belgilariga asoslangan stegonagrafiya Kirish

Zamonaviy fayl tizimidagi vaqt belgilari

Zamonaviy fayl tizimlari vaqt belgilarini qanday ishlatishini quyidagi bo‘limda tahlil qilinadi. Olg‘a surmoqchi bo‘lgan taxmin shuni anglatadiki vaqt belgilarida foydalanilmagan (ortiqcha) bo‘shliqlar mavjud bo‘lib, ular steganografik quvvatga ega bo‘lgan mantiqiy kanalni yaratish uchun yetarli.

Ko‘pgina zamonaviy fayl tizimlari vaqt belgilari sifatida 64 bitli qiymatlardan foydalanganligi va ikkinchi soniyali bo‘laklash usulini taklif qilishini 1-jadval yordamida aniqlashimiz mumkin. Ushbu jadval ma’lumotlari bugungi kunda iste’molchilarning asosiy foydalanadigan operatsion tizimlari yoki unga kiradigan barcha fayl tizimlarini qamrab oladi (masalan, Apple OS X, Google Android, GNU/Linux va Microsoft Windows).

Fayl tizimi	Fayl vaqt belgisi	Hajmi	Granularity
NTFS	Yaratish	64 bit	100 nsek
	Kirish	64 bit	100 nsek
	O‘zgartirish	64 bit	100 nsek
	MFT yozuvini o‘zgartirish	64 bit	100 nsek
ext4	Yaratish	64 bit	1 nsek
	Kirish	64 bit	1 nsek
	O‘zgartirish	64 bit	1 nsek
	O‘zgartirish atributi	64 bit	1 nsek
Btrfs	Yaratish	64 bit	1 nsek
	Kirish	64 bit	1 nsek
	O‘zgartirish	64 bit	1 nsek
	O‘zgartirish atributi	64 bit	1 nsek
ZFS	Yaratish	64 bit	1 nsek
	Kirish	64 bit	1 nsek
	O‘zgartirish	64 bit	1 nsek
	O‘zgartirish atributi	64 bit	1 nsek
FAT32	Yaratish	32 bit	2 sek
	Kirish	16 bit	1 kun
	O‘zgartirish	32 bit	2 sek
HFS+	Yaratish	32 bit	1 sek
	Kirish	32 bit	1 sek
	O‘zgartirish	32 bit	1 sek
	O‘zgartirish atributi	32 bit	1 sek
	Zahira nusxalash	32 bit	1 sek
ext3	Kirish	32 bit	1 sek
	O‘zgartirish	32 bit	1 sek
	O‘zgartirish atributi	32 bit	1 sek

1-jadval. Fayl vaqt belgilari xususiyatlari.
Jadvaldagi ma’lumotlarga asosan tahlil qilingan barcha faly tizimlari quidagi 3 ta vaqt belgisini qo‘llab quvvatlaydi. Bular yaratish, kirish va o‘zgartirish. Uchala vaqt belgilari ham sana va vaqt bilan bog‘liq bo‘lgan ma’lumotlarni sekund aniqligida saqlaydi.

Nanosaniyadagi aniqlik fayl tizimiga kiradigan oxirgi foydalanuvchilarga aniq yoki bilvosita yetkazilmaydi. Ular 1-rasmda tasvirlanganidek, ikkinchi bo‘laklashga erishadigan fayllar vaqt belgisi ma’lumotlari bilan to‘qnash kelmoqdalar . Shunday qilib, vaqt belgilari qanday saqlanishi va ulardan foydalanish o‘rtasida axborot uzilishi mavjud bo‘lishi mumkin.

1-rasm . Windows foydalanuvchilarida vaqt belgilarining namoyon bo‘lishi.

Vaqt belgilarini yaratish noyob hodisa hisoblanib ma’lumotning katta statik qismi hisoblanadi. Har safar faylga murajaat qilinganda yoki unga o‘zgartirish kiritilganda vaqt belgilarining kirish va o‘zgartirish qismlari ham yangilanadi.

Fayl vaqt belgilariga asoslangan steganografiya

 Fayllarning vaqt belgilariga asoslangan yashirin, mustahkam va keng diapazonli sozlamalarda qo‘llaniladigan steganografik saqlash tizimi ya’ni TOMS (Time-On-My-Side) tizimini ko‘rib chiqamiz. Yuqoridagi "yashirin" so‘zi shuni anglatadiki, buzg‘unchi vaqt belgilarini o‘rganish orqali steganografik ma’lumotlarning mavjudligini yoki yo‘qligini aniqlay olmaydi. Shunday qilib, buzg‘unchilarga faqat xizmatni rad etish imkoniyati, ya’ni barcha vaqt belgilarini yozish va steganografik kanalni yo‘q qilish shu bilan ularning mavjudligini oshkor qilish imkoniyati qoladi. " Mustahkam " so‘zi esa tizim fayllarni manipulyatsiya qilish xurujlarini qo‘llab-quvvatlashi va tiklashi mumkinligini anglatadi. "Keng qo‘llaniladigan" degani tizim turli xil operatsion sozlamalariga mos ravishda sozlanishi, ishlashi va maxfiylikni muvozanatlashtirishi mumkin.

Tizim dizayni

TOMS tizimining maqsadi – ma’lumot tashuvchi yoki xostning fayl tizimi metama’lumotlari ichiga kirishni ( xabarni ) yashirish . Aniqlik uchun tizim kerakli bo‘shliqni aniqlay oladi (ya’ni foydalaniladigan fayl vaqt belgilari) va barcha kerakli joylar allaqachon mavjud deb taxmin qilinadi. TOMS dizayni ko‘p sathli yondashuvdan kelib chiqadi. Yuqoridan pastgacha tizim quyidagilarni o‘z ichiga oladi: (I) xabarni saqlash uchun konteyner sathi, (II) ortiqcha xatolarni tuzatish sathi va (III) shifrlash sathi.

Saqlash uchun konteyner sathi

Saqlash uchun konteyner sathi xabarni asosiy faylning vaqt belgisi metama’lumotiga elementar saqlash birliklari(ESB) sifatida moslashtiradi. Bu yondashuvda fayl va katalog o‘rnatilgan ma’lumot uchun ishlatilgan mutlaq yuritish yo‘li uchun ushlab qolish maqsadida shifrlangan metama’lumot fayllari va kataloglaridan foydalaniladi. Fayllarning metama’lumotlar yondashuvi foydalidir, chunki ma’lumotni ajratib olish uchun fayllarni to‘g‘ri tartiblash ahamiyatsiz. Bundan tashqari, ushbu faylni maxfiy ma’lumotlar bilan bir xil fayl tizimida saqlash shart emas. Aksincha, u umuman boshqa saqlash vositalarida saqlanishi mumkin. Albatta bu foydalidir, chunki tekshirilgan fayllar tizimida uning mazmuni shifrlangan bo‘lsa ham metama’lumot fayli mavjudligi yashirin emas. Aksincha, bunday shifrlangan fayl yana shubhalarni keltirib chiqarishi mumkin.

Ikkinchi variant - ma’lumotni faqat fayllar va ularning vaqt belgilari asosida ishonchli joylashtirish va ajratib olish . Buni butun fayl tizimlarida (masalan, NTFS tomi) yoki papka osti darajasida (masalan, NTFS root bo‘lmagan katalog)  yashirin almashtirishlar yordamida amalga oshirish mumkin . Bunday holda, barcha fayllar va kataloglar global miqyosida (fayl tizimi darajasi) yoki lokal

( papka osti darajasi) yaratilish vaqt belgisi bo‘yicha saralanadi. Ushbu tartib maxfiy ma’lumotlarni yozish va keyinchalik o‘qish uchun ishlatilishi mumkin bo‘lgan (mantiqiy) doimiy saqlash maydonini belgilaydi.

Xatolarni tuzatish sathi

Fayl tizimiga ega bo‘lgan saqlash vositasidan normal foydalanish va buzg‘unchilarning harakatlari fayl tizimida saqlangan ba’zi fayllarni o‘chirib tashlashi mumkin. Shuningdek, buzg‘unchilar ba’zi fayllarni yaratish vaqt belgilarini ataylab o‘zgartirishi mumkin. Bunday harakatlar ataylab qilinganmi yoki yo‘qmi baribir yaratish vaqt belgilarining yangi tartibini keltirib chiqaradi. Natijada kirish fayllari segmentlariga to‘g‘ri tartibda yoki umuman kirish imkoni bo‘lmaydi.

Xatolarni tuzatish sathi kirish faylining dastlabki ko‘rinishini yuqorida aytib o‘tilgan masalalarni yengish uchun qo‘shimcha ma’lumot bilan ko‘paytiradi. Birinchi qadam sifatida  xato tuzatish kodi (XTK) qo‘shiladi. Xato tuzatish kodi yetishmayotgan ma’lumotlarni aniqlay oladi va qayta tiklaydi. Ikkinchi qadam sifatida ushbu sath ishlatilgan fayllar uchun boshlang‘ich harakatni amalga oshiradi . Bu dasturni istalgan tasodifiy nuqtasidan boshlashga hamda eski va yangi fayllardan foydalanishga imkon beradi. Shunday qilib, ma’lumotni yashirish uchun faqatgina eski fayllardan emas yangilaridan ham foydalaniladi. Tegishli xato tuzatish kodini tanlashni amalga oshirish jarayoniga topshiriladi. Umuman olganda, xatolarni tuzatish kodi saqlash uchun qo‘shimcha xarajatlarni talab qilmasligi kerak .

Shifrlash sathi

Xatolarni tuzatish sathi ma’lumotlarning ortiqcha miqdorini taqdim etadi . Ushbu ma’lumotlarning ortiqcha miqdorini mantiqiy uzluksiz saqlash maydonini yaratish uchun vaqt belgisidan vaqt belgisiga bog‘lanishlarni ko‘rsatish uchun zarur bo‘lgan ma’lumotlarga mos keladi. Bu shablonli vaqt belgilarini keltirib chiqaradigan manbalar bo‘lishi mumkin. Agar qonuniyatlar aniqlansa, butun steganografik tizim qulaydi, chunki ular yashirin ma’lumotlarning mavjudligini ochib beradi.

Shifrlash sathining roli ikki xil: Bir tomondan u maxfiy ma’lumotlarni oshkor qilishdan himoya qiladi. Shifrlangan va yashirin ma’lumotlarga faqat tegishli kriptografik kalitlarga ega bo‘lgan kishi kirish huquqiga ega. Boshqa tomondan xavfsiz shifrning chalkashligi va diffuziya xususiyatlari chiqishda uning umuman tasodifiy ko‘rinishiga imkon beradigan deyarli hech qanday shablon mavjud bo‘lmasligini kafolatlaydi.

Shifrlash sathi avvalgi ikki sath ma’lumotlarini shifrlash uchun simmetrik kriptografik algoritmlardan foydalanadi. Ushbu sathda oqim shifrlari , masalan AES-OFB yoki RC4 dan foydalanish mumkin. Oqim shifrlarining blok shifrlaridan ustunligi avvalgisi operatsiya natijasini kengaytirishga hojat yo‘q va ular ma’lum bir xatolardan (masalan, yo‘qolgan vaqt belgilarini) qayta tiklanish xususiyatiga ega bo‘ladi.

Axborotni taqdim etish: NTFS misolida

Endi TOMS tizimi komponentlari qanday qilib xabarni vaqt belgilarida yashirish uchun birgalikda ishlashini tasvirlashimiz mumkin. Quyida biz NTFS fayl tizimidan misol sifatida foydalanamiz. Shu bilan birga, tavsif shunga o‘xshash xususiyatlarga ega bo‘lgan boshqa har qanday fayl tizimi uchun amal qiladi. 2- rasmda fayl tizimi va katalogni o‘z ichiga olgan turli xil fayl tizimlari ob'ektlarini namoyish qilish uchun ishlatiladigan NTFS inode ma’lumotlar tarkibi tasvirlangan. Quyida NTFS inodlariga murojaat qilish uchun "fayl" atamasidan foydalanamiz.

2-rasm . Vaqt belgilarining nanosekund qismi maydonlarida ma’lumot saqlash tahlili.

NTFS holatida TOMS tizimi tomonidan ikkita fayl vaqt belgilaridan foydalanish mumkin: yaratish va oxirgi kirish . Har bir vaqt belgisi o‘zining nanosaniyadagi qismini ko‘rsatish uchun 24 bitdan foydalanadi. Shunday qilib, ma’lumotni yashirish uchun har bir fayl uchun jami olti baytdan foydalanish mumkin. Bu TOMS tizimi uchun elementar saqlash birligini (ESB) tashkil etadi. Kirish (steganografik) xabarning hajmi M  elementar saqlash birligini hajmidan ancha katta deb taxmin qilinadi . Dastlab xatolikni to‘g‘rilash kodningi funksiyasi kiritish xabarida qo‘llaniladi, E=XTK(M). Keyin n , E ni saqlash uchun zarur bo‘lgan ESB soni oldindan belgilanadi (n||E).

Ma’lumotni yashirish

Axborotni yashirish jarayoni quyidagicha ishlaydi. Kodlangan xabar ( E ) har biri besh baytdan iborat n bloklarga bo‘linadi (B1,B2,…,B_n). So‘ngra har bir blok indeks sifatida ishlatiladigan bitta bayt bilan ta’minlanadi (i∈{1,…,n}). Indeks bayti uchun 0x00 maxsus qiymati kerakli ESBlar sonini o‘z ichiga olgan beshta baytli blokni oldindan o‘rnatish uchun ishlatiladi . Olingan struktura olti baytli bloklarning bog‘langan ro‘yxatidan iborat:(0,n),(1,B₁),…,(n,B_n). Keyin ushbu tuzilma olti baytli bloklarning chiqish ro‘yxatini ishlab chiqaradigan oqim shifri va maxfiy kalit bilan shifrlanadi:C₀,C₁,…,C_n.

TOMS tashuvchi sifatida ishlatilishi mumkin bo‘lgan nomzod fayllar ro‘yxatini tuzadi. F ro‘yxat har bir faylning yaratilish vaqt belgisi asosida tuziladi va boshlang‘ich S siljish tasodifiy tarzda tanlanadi. Fayllarning tartiblangan ro‘yxati F_s={f_s,f_s+1,…,f_s+n}⊆F tashuvchi sifatida ishlatiladi. Keyin TOMS har bir faylni yaratish va kirish vaqt belgilarini nanosaniyadagi qismini oladi va F_s ning olti baytlik shifrlangan C_i qism bilan  o‘zgartiradi.

Katta hajmdagi xabarlar bilan ishlash

Faqat bitta baytni indeks sifatida ishlatish maxfiy xabar ( E ) uzunligini atigi 255 baytgacha cheklaydi . Ushbu cheklovni bir nechta indeks baytlarining bir xil qiymatga ega bo‘lishi orqali yengib o‘tish mumkin (0xFF qiymatiga yetib borgandan keyin to‘ldirish va 0x01 dan raqamlashni qayta boshlash). Har safar indeks baytlari to‘lib qolganda butun xabar uzunligini saqlash uchun ESB sarflanadi va yana 0x00 indeks baytidan foydalaniladi. 0x00 qiymatiga ega bo‘lgan indeks bayti har bir ESB xabarning umumiy uzunligini o‘z ichiga oladi .

Yashirin ma’lumotlarni qayta chaqirish

Axborotni qayta chaqirib olish jarayoni quyidagicha ishlaydi. Fayl tizimidagi barcha fayllar uchun vaqt belgilari ajratib olinadi. Yaratilish vaqti bo‘yicha saralanadi va keyin G ro‘yxati sifatida saqlanadi . Ro‘yxatdagi har bir yozuv uchun yaratilishning nanosekundalar qismi va kirish vaqt belgilari ma’lumotni yashirish jarayonida ishlatiladigan bir xil oqim shifrini va asosiy materialni qo‘llash orqali deshifrlanadi. Agar yaratilish vaqt belgisining shifrlangan birinchi bayti indeks baytining 0 × 00 qiymatiga teng bo‘lsa, tegishli vaqt belgilari L siljish ro‘yxatiga qo‘shiladi va ESB,n soni tiklanadi. So‘ngra, tegishli n indeksini (ya’ni 0 × 01, 0 × 02,…, n) va H tuzilishini tiklab  keyingi n ro‘yxat yozuvlari qayta ishlanadi . Keyingi xatolarni tuzatish kodi funktsiyasi H-da qo‘llaniladi va asl M (yashirin) xabarni tiklaydi.

Foydalanilgan adabiyotlar

1.M. Akgul, M. Kırlıdog‘, Internet censorship in Turkey, Internet Policy Rev4(2)

2. Greenwald G. oplace to hide: Edward Snowden, the NSA, and the US surveillance state. Macmillan; 2014

3. Zielinska E, Mazurczyk W, Szczypiorski K. Trends in steganography.Commun ACM 2014;57(3):86e95

4. Khan H, Javed M, Khayam SA, Mirza F. Designing a cluster-based covert channel to evade disk investigation and forensics. Comput Secur 2011;30(1):35e49

5. Katzenbeisser S, Petitcolas F. Information hiding techniques for steganography and digital watermarking. Artech House; 2000

6. Giffin J, Greenstadt R, Litwack P, Tibbetts R. Covert messaging through TCP timestamps. In: Privacy enhancing technologies, Springer; 2003.p. 189e93

7. Bailey K, Curran K. An evaluation of image based steganography methods.Multimed Tools Appl 2006;30(1):55e88

8. A. Williams, Transfer data via YouTube, online at https://hackaday.com/2015/08/23/transfer-data-via-youtube/

9. Carrier B. File system forensic analysis. Addison-Wesley Professional; 2005

10.McDonald AD, Kuhn MG. StegFS: a steganographic file system for Linux.In: Information hiding, Springer; 2000. p. 463e77

11.Aycock J, de Castro DMN. Permutation steganography in FAT filesystems.In: Transactions on data hiding and multimedia security X, Springer;2015. p. 92e105

12. M. Perklin, ACL steganography: permissions to hide your porn, online at https://www.defcon.org/images/defcon-21/dc-21-presentations/Perklin /DEFCON-21-Perklin-ACL-Steganography Updated.pdf