[论文解读] Hiding Information in Retransmissions

Wojciech Mazurczyk, Miłosz Smolarczyk+1 more|ArXiv.org|May 4, 2009

Advanced Steganography and Watermarking Techniques参考文献 15被引用 23

一句话总结

本文提出RSTEG，一种新颖的隐蔽通信技术，通过故意延迟确认（ACK）以触发TCP重传，使重传包携带隐蔽数据而非原始数据。该方法在仿真中实现最高1.2 kbps的隐蔽通信带宽，证明其在真实网络流量中具备可行性与极低可检测性。

ABSTRACT

The paper presents a new steganographic method called RSTEG (Retransmission Steganography), which is intended for a broad class of protocols that utilises retransmission mechanisms. The main innovation of RSTEG is to not acknowledge a successfully received packet in order to intentionally invoke retransmission. The retransmitted packet carries a steganogram instead of user data in the payload field. RSTEG is presented in the broad context of network steganography, and the utilisation of RSTEG for TCP (Transport Control Protocol) retransmission mechanisms is described in detail. Simulation results are also presented with the main aim to measure and compare the steganographic bandwidth of the proposed method for different TCP retransmission mechanisms as well as to determine the influence of RSTEG on the network retransmissions level.

研究动机与目标

• 开发一种利用现有网络重传机制的隐蔽通信方法，且不改变协议行为。
• 通过在正常协议语义范围内运行，避免协议异常，以最小化可检测性。
• 评估所提方法在不同TCP重传机制下的隐蔽通信带宽与网络影响。
• 证明在不增加总体重传率的前提下，可将数据嵌入重传包中。
• 提供一种可应用于广泛部署的传输协议（如TCP）的实际隐蔽通信解决方案。

提出的方法

• 通过故意延迟或省略确认（ACK）分组，触发先前发送的数据分组重传。
• 重传分组不重新发送原始用户数据，而是将其有效载荷字段用于携带隐蔽信息。
• 使用预定义的编码方案将秘密数据映射到重传分组的数据字段中，实现隐蔽信息嵌入。
• 该技术专门应用于TCP的重传机制，包括基于RTO和基于SACK的重传。
• 使用仿真环境模拟不同网络条件，测量隐蔽通信吞吐量与重传开销。
• 确保重传次数保持在正常协议行为范围内，以避免被检测。

实验结果

研究问题

• RQ1 能否在不改变协议行为的前提下，可靠地将隐蔽数据嵌入网络重传中？
• RQ2 基于重传的隐蔽通信在TCP中可实现的隐蔽通信带宽是多少？
• RQ3 RSTEG对总体重传率和网络性能有何影响？
• RQ4 不同TCP重传机制（如RTO、SACK）对隐蔽通信吞吐量有何影响？
• RQ5 在标准网络监控与流量分析下，RSTEG是否仍能保持不可检测？

主要发现

• RSTEG在仿真环境中实现最高达1.2 kbps的隐蔽通信带宽，具体取决于网络条件与重传机制。
• 该方法仅导致总重传次数的微小增加，保持在正常协议行为范围内。
• 基于SACK的重传机制相比基于RTO的机制支持更高的隐蔽通信吞吐量。
• 该技术具有极低可检测性，因其未引入协议异常或异常流量模式。
• 隐蔽信息可成功嵌入与提取，且无需修改TCP协议栈或网络基础设施。
• 仿真结果证实，RSTEG在真实TCP网络中具备可行的隐蔽通信能力。