5.2.5. Использование возможностей файловой системы

5.2.5.1. Использование штатных возможностей файловой системы

Данная группа методов использует файловую систему компьютера в качестве контейнера для скрытия информации. В зависимости от типа файловой системы, пользователь получает в свое распоряжение те или иные документированные или недокументированные возможности файловой системы.

Альтернативные потоки данных NTFS

В качестве одного из способов скрытия информации с использованием возможностей файловой системы, рассмотрим «Альтернативные потоки данных NTFS». Данный способ не является высоконадёжным, однако в определённых ситуациях позволяет оперативно скрыть информацию, используя штатные средства файловой системы [1, 15].

Альтернативные потоки данных (Alternate Data Streams, ADS) – это метаданные, связанные с объектом файловой системы NTFS – файлом или директорией. В файловой системе NTFS файл и директория, кроме основных данных, могут также быть связаны с одним или несколькими дополнительными потоками данных. При этом дополнительный поток может быть произвольного размера, в том числе может превышать размер основного файла.

В 1993 году Microsoft выпустила первую версию операционной системы Windows NT, с файловой системой NTFS. Уже тогда NTFS могла работать с несколькими именованными потоками ADS. В системе Windows 2000 альтернативные потоки данных используются для хранения таких атрибутов, как сведения об авторе, название и иконка файла. Начиная с Service Pack 2 для Windows XP, Microsoft представила службу Attachment Execution Service, которая сохраняет в альтернативных потоках данных подробную информацию о происхождении загруженных файлов в целях повышения безопасности.

Операционные системы Windows, начиная с Windows NT, позволяют получать доступ к ADS через API, а также через некоторые утилиты командной строки. Однако альтернативные потоки данных игнорируются большинством программ, включая Проводник Windows. Проводник позволяет копировать альтернативные потоки и выдает предупреждение, если целевая файловая система их не поддерживает. Но при этом он не подсчитывает размер и не отображает список альтернативных потоков.

Консольная команда DIR по умолчанию так же игнорирует ADS, однако в операционной системе Windows Vista команда DIR была обновлена, в неё был добавлен флаг «/R» для построения списка ADS.

Для работы с ADS существует достаточное количество утилит, однако работать с ADS возможно через команды консоли, или например, при помощи штатного текстового редактора «Блокнот» (Notepad.exe).

В интерфейсе консоли (командной строки) набираем команду:

C:\>notepad 1.txt:test

где, test – имя альтернативного потока. В открывшемся окне Блокнота вводим произвольный текст. Затем сохраняем файл и закрываем Блокнот.

Если открыть файл штатно на просмотр или редактирование, то он будет пуст, однако, если повторить команду:

C:\>notepad 1.txt:test

то мы увидим ранее набранный текст. Таким образом, это показывает, что мы имеем возможность оперативного скрытия информации большого объёма на дисках NTFS, не прибегая к особым ухищрениям. Однако, надо помнить, что данный способ не обеспечивает высокой и долговременной скрытности ввиду его известности.

Скрытие путём фрагментации диска

В апреле 2011 появилась информация, что ряд пакистанских учёных из Национального университета науки и технологий в Исламабаде предлагают методику стеганографии, которая обеспечивает скрытие информации за счет использования специфических особенностей технологии записи данных на диск [14].

Известно, что файлы при записи на диск размещаются на свободных участках диска в виде фрагментов, которые не всегда располагаются друг за другом. Данный процесс известен как фрагментация файлов. Программное обеспечение, созданное пакистанскими учёными, позволяет сделать так, чтобы фрагменты файла располагались на диске не в произвольном, а в строго предусмотренном порядке, формируя своеобразный код. Фрагменты, расположенные рядом и фрагменты, удаленные друг от друга, соответствуют «единицам» и «нулям» двоичного кода скрываемого сообщения.

Все, что необходимо получателю диска – это название файла, в чьих фрагментах скрыто секретное сообщение, и приложение, которое используется для скрытия и извлечения данных.

Разработчики собираются распространять свой инструмент бесплатно и открыть исходный код программы для всех желающих.

«Непосвященные лица не будут знать, что рисунок фрагментации кластеров имеет значение, следовательно, не смогут расшифровать тайное послание», – объясняет один из разработчиков методики – Хасан Хан. Изобретатель утверждает, что предлагаемая технология позволит закодировать сообщение размером до 20 мегабайт на 160- гигабайтном портативном диске. Еще одним достоинством нового метода является возможность добавления скрываемой информации на заполненный носитель. Для этого приложению достаточно изменить порядок расположения фрагментов уже записанных на диск файлов.