[论文解读] A Generation-based Text Steganography Method using SQL Queries

Youssef Bassil|arXiv (Cornell University)|Dec 10, 2012

Advanced Steganography and Watermarking Techniques参考文献 7被引用 3

一句话总结

本文提出了一种基于生成的新型文本隐写术方法，通过将每个字符映射到包含65个词类的分类词典中随机选择的词语，将秘密消息嵌入SQL查询中。该方法动态生成语义有效的SELECT查询以隐藏隐秘信息，实验结果证明了其可行性，并建议未来可扩展至其他SQL命令以增强混淆效果。

ABSTRACT

Cryptography and Steganography are two techniques commonly used to secure and safely transmit digital data. Nevertheless, they do differ in important ways. In fact, cryptography scrambles data so that they become unreadable by eavesdroppers; while, steganography hides the very existence of data so that they can be transferred unnoticed. Basically, steganography is a technique for hiding data such as messages into another form of data such as images. Currently, many types of steganography are in use; however, there is yet no known steganography application for query languages such as SQL. This paper proposes a new steganography method for textual data. It encodes input text messages into SQL carriers made up of SELECT queries. In effect, the output SQL carrier is dynamically generated out of the input message using a dictionary of words implemented as a hash table and organized into 65 categories, each of which represents a particular character in the language. Generally speaking, every character in the message to hide is mapped to a random word from a corresponding category in the dictionary. Eventually, all input characters are transformed into output words which are then put together to form an SQL query. Experiments conducted, showed how the proposed method can operate on real examples proving the theory behind it. As future work, other types of SQL queries are to be researched including INSERT, DELETE, and UPDATE queries, making the SQL carrier quite puzzling for malicious third parties to recuperate the secret message that it encodes.

研究动机与目标

• 开发一种将文本消息隐藏在SQL查询中的隐写技术，利用SQL的语法结构实现不可检测的数据传输。
• 解决现有文献中尚未探索的SQL等查询语言的隐写方法缺失问题。
• 确保隐写载体（SQL查询）看起来合法且语义有效，以逃避攻击者的检测。
• 实现基于结构化、分类词典的输入消息动态生成SQL载体。
• 为未来将该方法扩展至其他SQL操作（如INSERT、DELETE和UPDATE）以增强混淆效果奠定基础。

提出的方法

• 该方法使用基于哈希表的词典，包含65个类别，每个类别代表语言中的一个不同字符，用于将输入消息的字符映射到词语。
• 秘密消息中的每个字符被映射到其对应类别词典中的一个随机词语，以确保变化性并减少模式检测。
• 将映射后的词语组合成语法正确的SQL SELECT查询，同时保持标准SQL语法的结构和语义。
• 输出为动态生成的SQL查询，其外观为合法的数据库查询，但通过词语组成隐藏了秘密消息。
• 词典按组织结构设计，以支持高效查找和字符到词语的映射，根据实现需求支持大小写不敏感或大小写敏感的编码。
• 未来工作旨在将该方法扩展至其他SQL命令（如INSERT、UPDATE、DELETE），以多样化载体类型并增强隐蔽性。

实验结果

研究问题

• RQ1 隐写方法能否在保持语法和语义有效性的同时，有效将文本消息嵌入SQL查询？
• RQ2 如何构建词语词典，以实现字符到词语的可靠且可逆映射，从而支持动态查询生成？
• RQ3 生成的SQL查询在多大程度上能与真实数据库查询难以区分，以避免被窃听者检测？
• RQ4 仅使用SELECT查询进行隐写编码的可行性与安全影响是什么？将方法扩展至其他SQL命令如何提升鲁棒性？
• RQ5 该方法如何确保尽管每个类别中词语的选择是随机的，隐藏消息仍能被可靠恢复？

主要发现

• 所提出的方法成功生成了语义有效的SQL查询，通过词语映射隐藏秘密消息，证明了在基于SQL的系统中实现隐写的可行性。
• 实验结果证实，该方法可通过动态生成的查询实现消息的编码与解码，验证了该方法核心理论的有效性。
• 使用包含65个类别的分类词典，可实现字符的系统化编码，支持全字母表或扩展字符集的表示。
• 尽管每个类别中词语的选择是随机的，但通过确定性映射确保了消息的完整性和可恢复性。
• 该方法具有扩展至其他SQL命令（如INSERT、DELETE和UPDATE）的潜力，可进一步隐藏隐写载体以抵御分析。
• 生成的SQL载体在结构上与真实数据库查询无法区分，增强了对恶意第三方检测的抗性。