CN103581168A - 基于ip分片伪装技术的隐蔽信息通信方法 - Google Patents

Abstract

本发明公开了一种基于IP分片伪装技术的隐蔽信息通信方法，包括以下步骤：（1）将隐蔽信息进行加密处理；（2）发送端向接收端发送分组数据同步请求，表明隐蔽信息开始传输；（3）发送端选择本次待发的比特流，修改待传输的K个IP数据包的报文信息，按照正常的TCP/IP协议向接收端发送每个IP数据包；（4）当待发的比特流发送完成后，发送端判断是否还存在未传输的比特流；如果存在，按照步骤（3）继续传输未传输的比特流；否则发送端向接收端发送结束分组请求，关闭网络连接，隐蔽信息传输结束。该方法在保证和现有技术相当隐蔽性的前提下，利用伪装分片原理，利用多个字段的联合作用来提高嵌入率，并保证分组在接收端的有序重组和丢失检测。

Description

基于IP分片伪装技术的隐蔽信息通信方法

技术领域

本发明属于信息安全技术领域，具体涉及一种基于IP分片伪装技术的隐蔽信息通信方法。 

背景技术

信息隐蔽是一种新的信息安全技术，近年来得到了迅速的发展，可广泛应用于数字信息的版权保护、认证、机密信息的隐蔽传输等领域。它将信息隐蔽在公开的载体媒介中，而不影响载体媒介的效果。隐蔽通信是指利用信息隐蔽技术将机密信息隐蔽在普通多媒体信息中进行传输的一种通信方法，具有较好的隐蔽性和安全性，可用于军事、商业保密通信等。 

随着信息技术的飞速发展，互联网得到了广泛应用。而作为计算机互联网络数据传输的核心协议簇，TCP/IP提供了诸如TCP(Transmission Control Protocol)、ICMP(Internet Control Message Protocol)、IGMP(Internet Group Management Protocol)等协议报文。TCP/IP协议的各种报文结构通常具有固定格式。这种固定格式在给网际互连带来方便的同时，也不可避免地引入了冗余。如某些协议报文中的字段在一般的通信过程中通常不会被利用，但按照TCP/IP协议的标准它们又不可缺少，这就给隐蔽通信创造了机会。 

通常，在TCP/IP协议下实现隐蔽通信技术，主要是基于在协议报文的某些特定字段域嵌入隐蔽数据。这些隐蔽数据的嵌入不影响正常的通信过程，当协议报文从发送端以合法的身份抵达接收端时，数据也同时抵达，形成了一条基于TCP/IP协议的存储型隐蔽信道。图1描绘了基于TCP/IP网络层次模型的隐蔽信道传输方式。 

当前的TCP/IP网络协议存储型隐蔽信道主要通过修改TCP／IP数据包头信息或修改数据包内数据部分来实现。一般情形下，修改数据包内数据部分构造隐蔽信道的方式由于改变了原来数据包的内容，可以认为这种方式是通过加解密的方式来进行机密数据的隐蔽传输，而加解密技术容易引起第三方的兴趣而进行相关的密码破解来获取隐蔽数据，所以这种方式的隐蔽性受到很大的限制。本发明因此而来。 

发明内容

本发明的目的在于提供一种基于IP分片伪装技术的隐蔽信息通信方法，提供了一种安全、高效的隐蔽信息通信方法，该方法解决了现有基于IP协议隐蔽通信不可靠和安全性不高的问题，而且同时方便实现接收端隐蔽信息的有序重组。 

为了解决现有技术中的这些问题，本发明提供的技术方案是： 

一种基于IP分片伪装技术的隐蔽信息通信方法，所述原始隐蔽信息为已经加密处理的比特流文件，其特征在于所述方法包括以下步骤： 

（1）将隐蔽信息进行加密处理，形成n*u位的比特流文件，然后将比特流文件进行分组处理，分为n/K组待发的比特流；其中u为大于等于1且小于13的自然数，K为小于等于2^13-u的自然数； 

（2）发送端向接收端发送分组数据同步请求，表明隐蔽信息开始传输； 

（3）发送端选择本次待发的比特流，修改待传输的K个IP数据包的报文信息，修改IP数据包ID域值，修改每一个IP数据包中Offset域，Offset域中高13-u位中按待发的比特流的顺序嵌入顺序号，Offset域低u位中嵌入u位比特流，修改IP数据包Flags域为001，然后重新计算IP数据包的校验和，按照正常的TCP/IP协议向接收端发送每个IP数据包； 

（4）当待发的比特流发送完成后，发送端判断是否还存在未传输的比特流；如果存在，按照步骤（2）～（3）继续传输未传输的比特流；否则发送端向接收端发送结束分组请求，关闭网络连接，隐蔽信息传输结束。 

优选的技术方案是：所述方法中u=10，K为小于等于8的自然数。 

优选的技术方案是：所述方法中分组数据同步信息嵌入到分组的Offset域中，并将Flags域置为001，Offset域同步信息的嵌入由三段组成：本此待发送的比特信息的组数目K写入高3位，K的CRC校验码写入中间2位以及IPID域低8位的补码写入剩余的8位。 

优选的技术方案是：所述方法中分组数据结束信息嵌入到分组的Offset域中，并将Flags域置为001。Offset域结束信息的嵌入由两段组成：IPID域的低8位值写入Offset域低8位，IPID域低8位值的CRC校验码写入剩余的高5位。 

本发明的另一目的在于提供一种与基于IP分片伪装技术的隐蔽信息通信方法相匹配的隐蔽信息提取方法，其特征在于所述方法包括以下步骤： 

（1）接收端进行端口监听，当接收端接收到发送端对应端口数据到来时提取链路层IP数据包，检测IP数据包的Flags域，当Flags域值为001时进行步骤（2）；否则丢弃IP数据包，继续进行端口监听； 

（2）根据IP数据包判断IP数据包为正常IP分组数据包还是携带隐蔽信息的IP分组数据包；当IP数据包为正常IP分组数据包时返回步骤（1）继续进行端口监听；否则按照以下方式进行处理： 

i）如果携带隐蔽信息的IP分组数据包为分组数据同步请求，则记录本次发送的比特流分组数目和此IP分组数据包的IPID后返回步骤（1）继续进行端口监听； 

ii）如果携带隐蔽信息的IP分组数据包为结束分组请求，则关闭连接，通信结束； 

iii）如果携带隐蔽信息的IP分组数据包既不是分组数据同步请求，也不是结束分组请求，则提取IP分组数据包中Offset域高u位的顺序号，存入记录文件，并记录本次分组数据包的IPID值；提取Offset域低13-u位信息存入隐蔽信息文件；返回步骤（1）继续进行端口监听。 

优选的技术方案是：所述方法中还包括对记录文件进行重组的步骤，所述对记录文件进行重组的步骤包括： 

（1）同一个IPID值，记录文件中按升序对顺序号进行排列，同时调换隐蔽信息分组数据包中对应位置上的比特流的位置，形成分组比特流； 

（2）不同的IPID值，按照IPID值的先后顺序进行排列，并调换分组比特流的位置形成n*u位的比特流文件。 

优选的技术方案是：所述方法中如果记录文件中拥有同一个IPID值的顺序号的数目与分片数目K不等，则表示有相应分组丢失，对丢失的分组进行报错或重传处理；否则进行记录文件中按升序对顺序号进行排列，同时调换隐蔽信息分组数据包中对应位置上的比特流的位置，形成分组比特流。 

本发明的工作原理在于通过修改TCP／IP协议头的方式来实现隐蔽信息传输，利用TCP/IP协议头的冗余字段来构造隐蔽信道，虽然理论上来说 也能被检测到，但相比起前者来说，没有采用加解密技术而不容易引起第三方的猜测，具有相当的隐蔽性。 

由于本发明技术方案主要是利用IP报头的特定字段来构造隐蔽信道，因此有必要对IP数据报文格式进行介绍。图2是标准的IPv4协议IP数据报文结构及报头中的各字段格式。其中当前基于IP报头的隐蔽信道构建主要依赖于以下几个字段：TOS，ID（标识），Flags（标志），Offset（片偏移），TTL，Checksum（首部校验和），源IP，目的IP，选项以及填充域。 

由于TOS在普通网络数据传输中不太常用，基于TOS的隐蔽信道很容易被发现。不同的主机对IP数据报的ID（标识）操作方式不同，但基本都呈现出ID渐增的规律，在此字段的信息嵌入要利用适当的方法来模拟正常的ID生成过程。Flags域只有三位，在此字段进行嵌入则使得嵌入带宽过小。而在单一字段的隐蔽信息嵌入由于字段本身的特征很容易被基于特征的检测手段发现隐蔽信道的存在。而采用多字段组合隐蔽信息的传输具有一定的局限性，特别是IP不提供端到端的可靠传输，使得隐蔽信息在目的端的到达顺序无法预测而导致重组发生异常，同时，对于嵌入隐蔽信息的分组在路由途中丢失的情形也无能为力。 

本发明技术方案利用数据包分片原理，将隐蔽信息嵌入在IP包Offset域的低13-u位，伪装成IP被分片再进行发送，隐蔽信息通过Offset域的高u位实现在目的端的正确序重组和丢失检测。本发明涉及网络信息隐蔽领域，特别涉及基于TCP/IP协议的隐蔽通信领域，具体涉及一种采用IP分片伪装技术，在IP数据包Offset域中隐蔽信息的隐蔽通信方法。本发明技术方案中假设原始隐蔽信息已经进过加密处理成比特流文件。 

相对于现有技术中的方案，本发明的优点是： 

本发明与已有技术相比，在保证和现有技术相当隐蔽性的前提下，利用伪装分片原理，利用多个字段的联合作用来提高嵌入率。对Offset域的操作方式使得Offset域值在后续分组中保持了渐增方式，与正常分片特征较为相似，进一步提高了信息传输的隐蔽性。同时，本发明也实现了接收端对接收到的信息的有序重组和丢失检测机制，保证了传输质量。 

附图说明

下面结合附图及实施例对本发明作进一步描述： 

图1为基于TCP/IP层次模型的隐蔽信道传输方式； 

图2是标准的IPv4协议IP数据报文结构及报头中的各字段格式。 

图3为发送端的隐蔽信息嵌入传输的基本过程流程图； 

图4为接收端的隐蔽信息提取的基本过程流程图； 

图5为信息重组检测的基本过程流程图； 

图6为隐蔽通信的应用场景。 

具体实施方式

以下结合具体实施例对上述方案做进一步说明。应理解，这些实施例是用于说明本发明而不限于限制本发明的范围。实施例中采用的实施条件可以根据具体厂家的条件做进一步调整，未注明的实施条件通常为常规实验中的条件。 

实施例 

一、隐蔽信息的通信 

本实施例假设原始隐蔽信息已经经过加密处理成比特流文件，u取值为10。 

(1)发送端的隐蔽信息嵌入传输过程 

如图3所示，发送端的隐蔽信息嵌入传输的基本过程为： 

步骤1：发送端在发送开始阶段，发送端选择本次要发送的比特分组数目K，即在同一个IPID域标识的分片分组的个数K（要求最大为8）。 

步骤2：在上述阶段结束后，发送端先向接收端发送一个同步分组，表明隐蔽信息传输的开始。具体做法是：将步骤1中的分片个数K嵌入Offset域的高3位，剩余10位这个地方是否要具体说明标志信息的格式或内容？。 

步骤3：修改接下来的K个分组，使得它们的ID域值相同；同时修改其Flags域值为001，分组伪装为已分片分组。 

步骤4：对于每一个已被分片的分组，按其原来的顺序，将顺序号嵌入到Offset域高三位，同时将隐蔽信息嵌入到低10位。依次发送每个数据包。 

步骤5：如果还有隐蔽信息，则返回步骤1；否则，向接收端发送一个传输结束分组，关闭连接，本次隐蔽信息传输结束。 

（2）接收端的隐蔽信息提取过程 

如图4所示，接收端的隐蔽信息提取的基本过程为： 

步骤1：进行端口监听，有对应端口数据到来时提取链路层数据。 

步骤2：对当前分组，检测其Flags域，若为001则进入步骤3，否则 返回步骤1。 

步骤3：检测分组是正常分组还是隐蔽信息携带分组。正常分组则丢弃并返回步骤1。如果是隐蔽传输同步分组，则记录本次发送的比特数据组数目后返回步骤1；若为隐蔽信息嵌入分组，则进入步骤4。若为隐蔽传输结束标识分组，则进入步骤5。 

步骤4：提取Offset域高三位的顺序号，存入记录文件，并记录本次分组的IPID值；再提取Offset域低10位信息存入隐蔽信息文件后返回步骤1。 

步骤5：若Offset域低10位信息是结束信息，则关闭连接，通信结束。否则返回步骤1。 

此时，接收端只是接收到了发送端发送的隐蔽信息，但对于分组是否顺序重组和丢失则不可知。因此，本阶段还包括信息重组和丢失检测过程： 

如图5所示，信息重组检测的基本过程为： 

步骤1：检测记录文件，对于同一个IPID值，查看顺序号的数目是否与分片数目K相等，若相等则表示分组接收完整，进入步骤2。若不相等，则表示有相应分组丢失。 

步骤2：对于同一个IPID值，查看顺序号是否符合自然数序。符合则返回步骤1查看下一个IPID值，否则进入步骤3。 

步骤3：对于同一个IPID值，按升序对顺序号进行排列，同时调换隐蔽信息分组中对应位置上的隐蔽信息的位置。 

步骤4：查看是否还有未处理的IPID。有则返回步骤1，否则处理过程结束，对丢失的分组进行报错和重传等相应处理。 

二、应用 

本实施例由于伪装了原有分组成为分片分组，则必须人为控制每个分组的总长度必须小于路径MTU（传输路径上的最大可传输分组大小），并且在发送和接收端之间不能有第三方或路由器对分组进行重组等处理。隐蔽通信的应用场景如图6所示。基于上述描述，本实施例采取端到端的环境来进行隐蔽信息传输，即图6中的场景D。发送方和接收端分别位于正常通信的两个客户端上，发送方通过在IP层阻塞正常数据流来修改IP头信息后再发送信息，接收方通过提取链路层数据，接收隐蔽信息后再将正常的数据包送回给IP层。 

具体实施过程如下： 

发送方： 

(1)首先计算路径MTU，确定嵌入隐蔽信息的可利用包的大小； 

本发明是将原本未进行分片的IP数据报伪装成已分组的分片以便利用Flags域和Offset域来嵌入信息。为了防止分片在路由路径上由于过大而被再次分片，所以嵌入信息的分组的大小不能超过路径MTU。这里MTU指的是两台通信主机路径中的最小MTU，而不是两台主机所在网络的MTU的值。RFC1191[mogul and Deering1990]描述了路径MTU的发现机制，即在任何时候确定路径MTU的方法。后来的研究也提供了一些路径MTU的发现技术，可以采用这些方法来计算本实施例中的MTU。本实施案例中采用的MTU=1500。 

(2)选择合适的IP分组来源来进行信息嵌入。 

本发明采取伪装分片的方法来进行信息嵌入，所以要求上层应用对数据包的分片操作要尽可能的少，而且数据包的大小也不能超过(1)中计算的路径MTU。当前网络中大部分数据包的大小都符合TCP/IP协议中规定的数据包大小限制。这里采用应用层的即时通讯类软件发送的数据包来进行嵌入比较合适，因为即时通讯数据（如实时聊天工具等）发送的UDP数据包的长度具有任意性，且一般来讲聊天时每次发送的信息也不会过大，符合本实施例对分组的要求。 

(3)向接收端发送同步信息，表示即将开始一组隐蔽信息发送。 

由于采用了单工信道进行发送，则同步信息及隐蔽信息的发送开始和结束都必须有发送端来完成，接收端被动的接收，检测信息的类型。在本实施例中，接收端先发送一个同步信息，表示接下来要发送隐蔽数据。具体做法是：将分组的Flags域置为001，表明分组被分片；将本次同步后要发送的信息的分片数目K值（即此次发送的每10bit信息的组数目）写入Offset域高三位。本实施例K值取K=8。剩余的Offset域低10位分两步修改，第一步将K值的CRC校验码写入接下来的2位，再将本分组的IPID的低8位取补码写入剩余的8位。这样设计的好处是，由于在整个单工信道传输过程中，会发送多个同步信息，因此这样的操作使得整个Offset域的值代表同步信息，且同步信息在隐蔽信息的传输过程中都是不同的，极大程度避免了 同步信息和隐蔽数据出现相同的可能性（相同的概率小于1/2¹³）。同时由于同步信息每次不同，使得整个传输过程中，不会出现多次同步信息重复的情况，增加了隐蔽信息传输的隐蔽性。 

(4)隐蔽信息嵌入。 

在同步信息发送结束后，即开始隐蔽信息嵌入发送。对于本次发送过程中的K个嵌入分组，依次执行下述操作：修改Flags域值为001；修改Offset域高三位值为嵌入数据的顺序号，低10位为相应的10bit隐蔽信息；同时将这K个分组的IPID值修改为第一个分组的IPID。再重新计算IP头的校验和，并填入校验位。修改结束将分组释放，交由下层处理和发送。 

(5)检测是否还有需要传输的隐蔽信息，有则返回(3)继续执行嵌入过程。没有则进入(6)。 

(6)隐蔽信息传输结束标识信息发送。 

由于是单工信道，接收方无法判断通信过程在何时结束，因此发送方必须发送一个结束标识来通知接收方，避免接收方无尽的等待。具体操作：Flags域置001；Offset域低8位写入IPID域低8位值。高5位写入低5位的CRC校验码。这里不取IPID域低8位值的补码是为了避免和同步信息重复。 

至此，发送方的发送过程结束，在每一次发送过程中，接收方的信息提取过程如下： 

(1)提取链路层数据，进行接收检测。 

对于当前到来的分组，先查看Flags域是否标识为分片分组，不是则丢弃。对于分片分组，提取其Offset域低8位，若是IPID域的低8位值，则检测其高5位是否为低8位的CRC校验码，是则表示此分组是通信结束标识，结束通信过程。 

若低8位是IPID域低8位的补码，则表示是通信同步信息。提取Offset域高3位值和中间2位，检测CRC校验码，正确则记录高3位值为本次分组传输的数目K。接下来将有K个和此分组IPID值相同的分组到来。 

若低8位不符合上述条件，则进入(2)。 

(2)提取隐蔽信息。 

对于接收到的数据包，检测其IPID值是否和(1)中相同或已在记录文件 中，不符合条件则进入(1)，否则循环执行以下过程：在记录文件中记录IPID值；提取Offset域高3位，记录此分片顺序号到记录文件；提取Offset域低10位值写入隐蔽数据存储文件。 

上述过程并没有实现接收端隐蔽数据的正确排序和丢失检测，其排序及检测过程如下： 

(1)检测记录文件，对于同一个IPID值，查看顺序号的数目是否与分片数目K相等，若相等则表示分组接收完整，进入(2)。若不相等，则表示有相应分组丢失，记录丢失的分组的IPID及顺序号，继续执行本步骤查看下一个IPID。 

(2)对于同一个IPID值，查看顺序号是否符合自然数序。符合则表示相应数据文件中同一组隐蔽信息顺序正确，返回(1)查看下一个IPID值，否则进入(3)。 

(3)对于同一个IPID值，按升序对顺序号进行排列，同时调换隐蔽信息文件中对应位置上的隐蔽信息的位置，使得本IPID下的隐蔽信息实现正确序重组。 

(4)查看是否还有未处理的IPID。有则返回步骤1，否则处理过程结束，对丢失的分组进行报错和重传等相应处理。 

本发明是独立于平台进行设计的，因此适用于windows、Linux等操作系统。隐蔽信息嵌入的载体是IP数据报的Offset域，适用于基于IP协议之上的所有通信协议，但为了更好地嵌入及保证隐蔽性，应用的场景应设定为采用了小数据报进行通信传输的应用。 

本实施例的仿真程序是在windows7操作系统下实现的，采用的软件是基于网络层UDP数据报的即时通讯软件。在即时通讯的发送过程中，通过阻塞正常的数据流，将相关信息嵌入IP报头后再依次将数据包交给下层处理。接收过程中，提取链路层数据，并按照提取和检测的过程，依次处理完毕再将数据包交给上层。实施例在发送和接收隐蔽数据时，采用了3中不同的数据格式去测试本发明的性能，数据的发送过程如图3所示，数据的接收过程如图4所示，测试结果如表1所示。由测试结果，可计算出本实施例的平均传输速率为176.07B/s。 

表1发送和接收隐蔽数据时的测试结果 

上述实施例只为说明本发明的技术构思及特点，其目的在于让熟悉此项技术的人是能够了解本发明的内容并据以实施，并不能以此限制本发明的保护范围。凡根据本发明精神实质所做的等效变换或修饰，都应涵盖在本发明的保护范围之内。 

Claims (7)

1.一种基于IP分片伪装技术的隐蔽信息通信方法，所述原始隐蔽信息为已经加密处理的比特流文件，其特征在于所述方法包括以下步骤：

（1）将隐蔽信息进行加密处理，形成n*u位的比特流文件，然后将比特流文件进行分组处理，分为n/K组待发的比特流；其中u为大于等于1且小于13的自然数，K为小于等于2^13-u的自然数；

（2）发送端向接收端发送分组数据同步请求，表明隐蔽信息开始传输；

（3）发送端选择本次待发的比特流，修改待传输的K个IP数据包的报文信息，修改IP数据包ID域值，修改每一个IP数据包中Offset域，Offset域中高13-u位中按待发的比特流的顺序嵌入顺序号，Offset域低u位中嵌入u位比特流，修改IP数据包Flags域为001，然后重新计算IP数据包的校验和，按照正常的TCP/IP协议向接收端发送每个IP数据包；

（4）当待发的比特流发送完成后，发送端判断是否还存在未传输的比特流；如果存在，按照步骤（2）～步骤（3）继续传输未传输的比特流；否则发送端向接收端发送结束分组请求，关闭网络连接，隐蔽信息传输结束。

2.根据权利要求1所述的隐蔽信息通信方法，其特征在于所述方法中u=10，K为小于等于8的自然数。

3.根据权利要求1所述的隐蔽信息通信方法，其特征在于所述方法中分组数据同步信息嵌入到分组的Offset域中，并将Flags域置为001，其中同步信息由三段组成：本此待发送的比特信息的组数目K，K的CRC校验码及IPID域低8位的补码。

4.根据权利要求1所述的隐蔽信息通信方法，其特征在于所述方法中分组数据结束信息嵌入到分组的Offset域中，并将Flags域置为001。结束信息由两段组成：IPID域的低8位值，IPID域低8位值的CRC校验码。

5.一种与权利要求1相匹配的隐蔽信息提取方法，其特征在于所述方法包括以下步骤：

（1）接收端进行端口监听，当接收端接收到发送端对应端口数据到来时提取链路层IP数据包，检测IP数据包的Flags域，当Flags域值为001时进行步骤（2）；否则丢弃IP数据包，继续进行端口监听；

（2）根据IP数据包判断IP数据包为正常IP分组数据包还是携带隐蔽信息的IP分组数据包；当IP数据包为正常IP分组数据包时返回步骤（1）继续进行端口监听；否则按照以下方式进行处理：

i）如果携带隐蔽信息的IP分组数据包为分组数据同步请求，则记录本次发送的比特流分组数目和此IP分组数据包的IPID后返回步骤（1）继续进行端口监听；

ii）如果携带隐蔽信息的IP分组数据包为结束分组请求，则关闭连接，通信结束；

iii）如果携带隐蔽信息的IP分组数据包既不是分组数据同步请求，也不是结束分组请求，则提取IP分组数据包中Offset域高u位的顺序号，存入记录文件，并记录本次分组数据包的IPID值；提取Offset域低13-u位信息存入隐蔽信息文件；返回步骤（1）继续进行端口监听。

6.根据权利要求5所述的隐蔽信息提取方法，其特征在于所述方法中还包括对记录文件进行重组的步骤，所述对记录文件进行重组的步骤包括：

（1）同一个IPID值，记录文件中按升序对顺序号进行排列，同时调换隐蔽信息文件中对应位置上的比特流的位置，形成分组比特流；

（2）不同的IPID值，按照IPID值的先后顺序进行排列，并调换分组比特流的位置形成n*u位的比特流文件。

7.根据权利要求6所述的隐蔽信息提取方法，其特征在于所述方法中如果记录文件中拥有同一个IPID值的顺序号的数目与分片数目K不等，则表示有相应分组丢失，对丢失的分组进行报错或重传处理；否则进行记录文件中按升序对顺序号进行排列，同时调换隐蔽信息分组数据包中对应位置上的比特流的位置，形成分组比特流。

Images