摘 要 本文针对在网络层上建立隐存储信道传输隐蔽信息的问题进行了探讨，提出了一个完整的隐蔽信息加密解密方案。方案中采用随机序列每次生成唯一的密钥对隐蔽信息进行加密。实验证明，这种加密方案对包过滤防火墙有一定的挑战性。
关键词 信息隐藏；隐信道；数据包分段；包过滤
1 引言
面对网络世界中日益充斥着的病毒，木马等多种黑客经常使用的攻击方式，人们对其表象和识别方法均已熟知，且已存在比较成熟的体系对其进行对抗。而隐蔽通道技术由于其特殊的构造方式将给互联网带来前所未有的威胁。
隐蔽通道的概念由Lampson[1]首先定义。在开放系统互联模型中，通信双方原则上可针对七层模型中的每一层建立隐蔽通道。而网络层则是处理端到端数据传输的最底层，可见，对这一层上的隐蔽通道算法的加密解密进行分析和研究具有十分重要的意义。
本文通过对IP数据包头分析，设计了一种新颖的基于随机序列的隐存储信道算法。
2 隐存储信道的隐写与识别算法
通过对图1IP数据包头的分析，可知，标识（identification）字段是让目标主机确定新到达的分段是属于哪一个数据报。而同一个数据报的所有分段都具有相同的标识字段值。紧随标识字段其后的是三个flag字段，其中DF字段（don‘t flagment）是目标主机针对路由器的一条命令，意指不须分段。
实际上，在目标主机对DF字段发出命令不分段时，标识字段已失去了原有的作用，在无分段数据包传输时，只需标识字段能唯一标识数据包即可。这意味着在不分段的情况下，IP数据包的分段策略与标识字段的值是相互独立的。也即，标识字段虽然与数据包分段策略存在联系，但其并不携带任何非分段数据包信息的值。
图2为隐存储信道的加密与解密过程。IP数据包的头8位，即VERSION字段
图2隐存储信道的加密与解密过程
为使隐蔽信息在隐存储信道中传输，可构造唯一标识数据包的16位标识字段。使
i’k=[i1,i2,…,i8]=ek⊕fk, k=1,2,...8 (a)
而i*k=[i9,i10,...,i16] (b)
为任意16位二进制数。由此可得
ik=a+b=i’k+i*k (c)
可见，通过在数据包里传输由式(c)导出的ik，隐存储信道可将隐蔽信息传输至目标主机而不考虑分段与否。本算法运用one-time pad加密方案。显然，在该算法里，密钥为fk。对fk稍加分析即可知其为一随机序列。虽然VERSION字段对同一版本IP数据包为固定数值，但数据包头部长度不固定，IHL字段为一随机序列。可见，本算法方案非常适用于低带宽信道，目标主机根据标识字段来组装数据包使隐藏了秘密信息的数据包在网络中传递时无须考虑分段情况。秘密信息Ek在隐存储信道中传输，最终到达目标主机。目标主机根据下文所述的识别算法将秘密信息解码。数据包到达后，相对应的版本字段、IHL字段以及标识字段被目标主机截获，目标主机通过等式Ek= fk⊕i’k获得隐蔽信息。
3 实验结果与算法分析
我们对本文提出的算法方案进行了模拟实验。实验中，我们将200个藏有隐蔽信息的数据包由一台主机A发往另一台受防火墙保护的主机B。实验证明，由于这种算法针对标识字段进行操作，使得这种形式的数据隐藏方法能抵御包过滤防火墙。标识字段的前8位由隐写算法构造，而后8位是随机产生的。这8位随机产生的数值可以保证加密后的数据为唯一的。因此，在隐信道中传输有相同标识符的内容相同的数据的概率为1/256=0.4%。也即说明，即使数据包内容相同，其标识符雷同以致被防火墙发现的概率也很小。可见，防火墙的过滤策略应针对这种情况作相应的改进，以增强识别隐信道的能力。
参考文献
[1] Lampson B W. A note on the confinement problem, Communications of the ACM[C], 1973, 16(10):613~615
Handel T G, Sandford M T. Hiding data in the OSI network model. Proceedings of Information Hiding[J]: first international workshop, Cambridge, UK, Berlin: Springer-Verlag, 1996:23~38
D. Kahn, The Codebreakers: The Story of Secret Writing[J], New York: Macmillan Publishing Co., 1983
U. S. C. Information Sciences Institute, “Internet protocol, darpa internet program, protocol specification,”[C] September 1981. Specification prepared for Defense Ad-vanced Research Projects Agency
