Hızlı cevap: Steganografi, bir verinin varlığını gizleme sanatıdır: bir mesaj, masum görünen bir dosyanın (genelde bir görsel, ses ya da video) içine, dışarıdan hiç fark edilmeyecek biçimde saklanır. Şifrelemeden farkı şudur: şifreleme mesajı okunamaz yapar ama varlığını gizlemez; steganografi ise mesajın var olduğunu gizler. Adli bilişimde steganografi hem bir veri sızdırma yöntemi (çalınan veriyi masum bir fotoğrafın içinde çıkarmak) hem de bir gizleme tekniğidir. Tespit için steganaliz kullanılır: dosya boyutu ve yapısındaki anormallikler, istatistiksel sapmalar ve bilinen araç imzaları aranır. En kritik gerçek şudur: iyi gizlenmiş bir mesajı gözle görmek imkansızdır, bu yüzden şüphe ve araç birlikte gerekir.

Bir çalışanın dışarı gönderdiği tatil fotoğrafı, aslında şirketin müşteri listesini taşıyor olabilir. Bir masaüstü duvar kağıdı, gizli bir mesajı barındırıyor olabilir. Steganografi tam olarak budur: veriyi gizlemek değil, gizlediğinizi gizlemek. Adli bilişimde bu, hem incelenmesi gereken bir kanıt saklama yöntemi hem de bir veri sızdırma vektörüdür. Bu yazı, steganografinin nasıl çalıştığını ve nasıl tespit edildiğini anlatıyor.

Steganografi ile şifreleme farkı

İki kavram sürekli karıştırılır ama farklı işler yapar:

  • Şifreleme, mesajı okunamaz hale getirir. Herkes şifreli bir dosyanın var olduğunu görür, ama içeriğini anahtar olmadan okuyamaz. Gizlenen şey içeriktir.
  • Steganografi, mesajın varlığını gizler. Dışarıdan bakan masum bir fotoğraf görür, içinde bir mesaj olduğunu bilmez. Gizlenen şey varlıktır.

En güçlü yaklaşım ikisini birleştirmektir: mesaj önce şifrelenir, sonra bir dosyanın içine gizlenir. Böylece biri gizli veriyi bulsa bile, şifreyi çözmeden okuyamaz.

Steganografi nasıl çalışır

En yaygın teknik, dosyanın insan algısının fark etmeyeceği kısımlarını kullanmaktır.

LSB (Least Significant Bit) yöntemi. Bir görselde her piksel, renk değerlerini sayılarla tutar. Bu sayıların en son (en önemsiz) bitini değiştirmek, rengi gözle görülemeyecek kadar az değiştirir. Saldırgan, gizli mesajını bu son bitlere dağıtır. Fotoğraf gözle tamamen normal görünür ama piksellerin son bitleri gizli veriyi taşır. Aynı mantık ses ve video dosyalarında da kullanılır.

Dosya yapısını kullanma. Bir dosyanın sonuna, biçiminin yok saydığı ek veri eklenebilir. Örneğin bir görselin verisi bittikten sonra dosyanın devamına bir arşiv gizlenebilir; görsel açılır, ama dosyanın içinde ayrıca gizli bir bölüm vardır. Aynı baytların hem bir görsel hem bir arşiv gibi davrandığı polyglot dosyalar da bu kategoridedir.

Meta veri ve az kullanılan alanlar. Dosyaların meta veri alanları, yorum bölümleri ve biçimin kullanmadığı boşluklar da veri gizlemek için kullanılır.

Steganaliz: gizli veriyi tespit etmek

Gizli veriyi bulmak, gizlemekten daha zordur. Steganaliz, gizli veri ihtimalini araştıran adli disiplindir. Kullanılan yaklaşımlar:

Yöntem Ne arar
Dosya yapısı analizi Biçime uymayan ek bölümler, dosya sonundaki fazla veri
İstatistiksel analiz Piksel ya da örnek dağılımında doğal olmayan sapmalar
Boyut anormalliği Beklenenden büyük dosya, benzerlerine göre şişkinlik
İmza tespiti Bilinen steganografi araçlarının bıraktığı izler
Karşılaştırma Orijinal dosya varsa, gizli veri taşıyanla farkı
Entropi analizi Şifreli gizli veri, yüksek rastgelelik olarak görünebilir

Kritik nokta: iyi gizlenmiş, az miktarda veri istatistiksel olarak neredeyse görünmez olabilir. Bu yüzden steganaliz, kesin bir "var" ya da "yok" değil, çoğu zaman bir olasılık değerlendirmesidir. Şüpheyi tetikleyen bağlam (bir veri sızıntısı şüphesi, alışılmadık dosya trafiği) araçla birleşince sonuç güçlenir.

Uygulamada, bilinen araçlarla gizlenmiş veriyi çıkarmayı deneyen otomatik araçlar ilk adımdır; sonuç çıkmazsa manuel yapı ve istatistik analizine geçilir. Dosya oyma ve gizli bölüm arama, Autopsy ile adli inceleme sürecinin de parçasıdır.

Adli bilişimde neden önemli

  • Veri sızdırma. Bir çalışan, gizli veriyi masum bir fotoğrafın içinde dışarı taşıyabilir. Ağ filtreleri dosya türüne bakar, içindeki gizli veriyi göremez. Ağ tarafındaki izler için Wireshark ile ağ adli analizi yazımıza bakabilirsiniz.
  • Kanıt gizleme. Bir şüpheli, suç delilini masum görünen dosyaların içine saklayabilir.
  • Gizli iletişim. İki taraf, sıradan görünen görsellerle gizli mesajlaşabilir.

Bu yüzden bir inceleme, dosyaları yalnızca göründükleri gibi değerlendirmez; şüpheli bağlamda gizli veri ihtimalini de araştırır.

Doğrulama ve delil bütünlüğü

Steganaliz bulguları da adli disipline tabidir. Gizli veri çıkarıldığında:

  • Orijinal dosyanın ve çıkarılan verinin hash'i alınır.
  • Çıkarma yöntemi ve kullanılan araç belgelenir.
  • Bulgu, delil zinciriyle kayıt altına alınır. Süreç için adli bilişim süreci ve delil zinciri yazımıza bakabilirsiniz.

Ayrıca dürüst bir uyarı: her büyük ya da yüksek entropili dosya gizli veri taşımaz. Bir sıkıştırılmış ya da şifreli dosya da yüksek rastgelelik gösterir. Steganaliz sonucu, yanlış pozitiflere karşı dikkatle ve bağlamla yorumlanmalıdır.

Sık yapılan hatalar

  • Steganografiyi şifrelemeyle karıştırmak. Biri varlığı, diğeri içeriği gizler.
  • Gözle bulmaya çalışmak. İyi gizlenmiş veri görsel olarak fark edilmez, araç gerekir.
  • Her yüksek entropiyi gizli veri sanmak. Şifreli ve sıkıştırılmış dosyalar da yüksek rastgelelik gösterir.
  • Orijinali aramamak. Varsa, orijinal ile karşılaştırma en güçlü yöntemdir.
  • Çıkarılan veriyi hashsiz bırakmak. Bulgu da delildir, bütünlüğü kayıt altına alınmalı.
  • Bağlamı yok saymak. Şüphe olmadan tüm dosyaları taramak verimsizdir; bağlam önceliklendirir.

Sık sorulan sorular

Steganografi ile şifreleme aynı şey mi? Hayır. Şifreleme içeriği okunamaz yapar, steganografi mesajın var olduğunu gizler. En güçlüsü ikisini birlikte kullanmaktır.

Gizli veriyi gözle görebilir miyim? Genelde hayır. İyi gizlenmiş veri, dosyayı görsel olarak değiştirmez. Tespit için steganaliz araçları gerekir.

Her fotoğrafta gizli veri olabilir mi? Teknik olarak evet, ama pratikte şüpheyi tetikleyen bir bağlam olmadan her dosyayı taramak verimsizdir.

Steganografi yasadışı mı? Tekniğin kendisi yasadışı değildir; kötüye kullanımı (veri sızdırma, suç delili gizleme) suç oluşturur.

Gizli veri çıkarıldıktan sonra şifreliyse ne olur? İyi bir saldırgan veriyi önce şifreler sonra gizler. Bu durumda gizli bölüm bulunsa da içerik için ayrıca şifre çözme gerekir.

Steganaliz kesin sonuç verir mi? Çoğu zaman olasılık değerlendirmesidir. Kesin kanıt, gizli verinin başarıyla çıkarılmasıyla gelir; bulunamaması, kesin yokluk anlamına gelmez.

Kaynaklar

Bir veri sızıntısı ya da gizli veri şüpheniz varsa, dosyaların göründüğü gibi olmayabileceğini unutmayın. İnceleme desteği için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan adli bilişim, steganaliz ve bilirkişi raporu hizmeti veriyoruz.