[论文解读] Steganography using the Extensible Messaging and Presence Protocol (XMPP)

Reshad Patuck, Julio Hernández-Castro|arXiv (Cornell University)|Sep 27, 2013

User Authentication and Security Systems被引用 8

一句话总结

该论文提出了首个基于扩展消息与存在协议（XMPP）的隐蔽通信框架StegMPP，通过利用协议层元数据（如'type'属性、'id'值和'xml:lang'状态）隐藏数据。实验表明，大多数通道对无状态检查者保持隐蔽，且熵值差异极小，表明其对熵值分析隐蔽检测具有较强鲁棒性；尽管部分通道在计算成本较高的有状态检查者下仍可被检测到。

ABSTRACT

We present here the first work to propose different mechanisms for hiding data in the Extensible Messaging and Presence Protocol (XMPP). This is a very popular instant messaging protocol used by many messaging platforms such as Google Talk, Cisco, LiveJournal and many others. Our paper describes how to send a secret message from one XMPP client to another, without raising the suspicion of any intermediaries. The methods described primarily focus on using the underlying protocol as a means for steganography, unlike other related works that try to hide data in the content of instant messages. In doing so, we provide a more robust means of data hiding and additionally offer some preliminary analysis of its general security, in particular against entropic-based steganalysis.

研究动机与目标

• 在XMPP中构建隐蔽通信通道，使其不被中间节点检测到。
• 利用XMPP协议层的冗余性而非消息内容进行隐蔽通信，以提升隐蔽通信的鲁棒性。
• 评估对无状态和有状态检查者的抗检测能力，尤其关注熵值分析隐蔽检测的场景。
• 提供一个概念验证工具StegMPP，用于实际实现和测试这些隐蔽通信技术。
• 探索通过动态通道切换增强通道对有状态检查者检测的抗性方法。

提出的方法

• 通过操纵'type'属性隐藏1个比特信息，该属性被XMPP服务器忽略并原样传递给接收方。
• 利用唯一且被丢弃的'id'值作为隐蔽通道，尤其在向多个客户端发送时可降低被检测风险。
• 通过'xml:lang'属性的存在或缺失来编码隐藏数据，但该通道安全性较低，因更易被检测。
• 利用XML元素中的前导和尾随空格作为隐蔽载体，但实验发现其效果较差。
• 曾考虑利用'type'属性的大小写变体作为潜在通道，但因易被无状态检查者检测而从StegMPP中移除。
• 通过模拟无状态和有状态检查者来评估检测能力，后者需跟踪消息序列和状态变化。

实验结果

研究问题

• RQ1 能否利用XMPP协议元数据而非消息内容构建隐蔽通信通道？
• RQ2 这些通道对仅检查单条消息的无状态检查者具有多大抗检测能力？
• RQ3 有状态检查者在分析消息序列和协议状态变化时，能多大程度上检测到隐藏消息？
• RQ4 干净XMPP会话与隐蔽通信会话之间的统计熵值有何差异？
• RQ5 有哪些技术可提升对有状态检查者的抗检测能力，且可如何实际实现？

主要发现

• StegMPP中的大多数隐蔽通道对无状态检查者保持隐蔽，因其不分析消息序列或状态变化。
• 基于'xml:lang'属性存在与否的通道熵值比干净流量高出0.013456，因此更易被统计隐蔽分析检测。
• 干净会话与隐蔽会话之间的熵值差异极小——范围在-0.002113至+0.013456之间，表明熵值隐蔽分析需大量数据和高精度。
• 有状态检查者可检测部分通道，但其实现计算开销大，且在繁忙的XMPP服务器上易产生高误报率。
• 利用被丢弃的'id'值作为隐蔽通道可避免被无状态检查者检测，且通过向多个客户端发送消息可进一步增强安全性。
• 论文结论认为，XMPP协议层隐蔽通信对常见隐蔽分析技术具有强鲁棒性，尤其在结合动态通道切换时。