Steganografia: verità e bugie

[Carlo Gubitosa <c.gubitosa@peacelink.it>]

Fonte: Punto Informatico

http://punto-informatico.it/p.asp?i=37944

di Andrea Glorioso. Si sa che in tempo di guerra c'è poco spazio per la 
razionalità, ma se questo è accettabile per un soldato faccia a faccia con 
la morte, lo è molto meno per analisti e giornalisti

AnnoZero/ Steganografia: verità e bugie

09/11/01 - Commenti - da AnnoZero - Si sa che in tempo di guerra c'è poco 
spazio per la razionalità. Ma se questo è accettabile per un soldato che si 
trova faccia a faccia con il rischio concreto di morire, lo è molto meno 
per analisti, giornalisti e tutti coloro che fungono da ponte di 
collegamento tra il fronte e le retrovie, cioè noi.

Accade così che la notizia che Bin Laden, per comunicare con la sua armata 
di martiri, abbia usato Internet, nascondendo messaggi e istruzioni 
all'interno di immagini poste su e-Bay o su Usenet, faccia il giro del 
mondo, ma sia basata su assunti totalmente indimostrati.

La tecnica di nascondere messaggi all'interno di altri messaggi in modo che 
l'involucro esterno sia allo stesso tempo sensato e distinto dal messaggio 
"nascosto" è nota come steganografia. Per usare le parole di Marcus Kuhn:

"(la steganografia) è l'arte di comunicare in modo tale da nascondere 
l'esistenza stessa della comunicazione. Al contrario della crittografia, in 
cui il nemico può rilevare, intercettare e modificare dei messaggi senza 
però riuscire a violare determinati livelli di sicurezza garantiti da un 
criptosistema, il fine della steganografia è di nascondere dei messaggi 
all'interno di altri messaggi innocui in modo tale da non permettere 
nemmeno al nemico di rilevare la presenza di un secondo messaggio segreto". 
(http://www.jjtc.com/stegdoc/sec201.html)

Esistono varie tecniche per raggiungere questo risultato. Nel mondo delle 
immagini digitali, per esempio, è piuttosto comune utilizzare i bit meno 
significativi di ogni pixel di un'immagine, sfruttando il fatto che per un 
occhio umano una differenza di pochi bit tra due terne RGB (rosso, verde e 
blu, i tre colori primari) non è praticamente percepibile. Quei bit possono 
quindi essere usati per inserire altre informazioni, come ad esempio un 
documento di testo o un'altra immagine.

Il consigliere per la sicurezza nazionale statunitense, Condoleeza Rice, e 
il portavoce del primo ministro britannico, Alastair Campbell, sono stati 
tra i primi a vagheggiare l'utilizzo di tecniche steganografiche da parte 
di Al Qaeda. Ma già nel febbraio di quest'anno il settimanale USA Today 
avvertiva che all'interno delle immagini dei siti pornografici potevano 
essere stati inserite le istruzioni cifrate relative ad attacchi terroristici.

Il problema fondamentale di tutta la questione è che nessuna di queste 
supposizioni sono state minimamente comprovate. Nessuna prova. In compenso, 
esse sono la scusa ideale per limitare sempre di più le nostre libertà. Il 
presidente degli Stati Uniti ha da poco apposto la firma al Patriot Act, 
una legge la cui invasività nella privacy internettiana (e non solo) e la 
mancanza di precisi limiti cronologici ai poteri speciali concessi alle 
agenzie investigative coinvolte hanno già causato non poche polemiche da 
parte di gruppi come l'ACLU, l'EFF e CPSR. In Italia il decreto legge 18 
ottobre 2001, n. 374 (Disposizioni urgenti per contrastare il terrorismo 
internazionale) pur se meno pesante del Patriot Act, non ha mancato di 
suscitare perplessità, specie in vista della conversione in legge e delle 
prevedibili aggiunte al decreto da parte del Parlamento.

Da questo punto di vista, comunque, non c'è molto di nuovo sotto il sole. 
In Italia, siamo abituati a convivere con leggi teoricamente d'emergenza o 
comunque programmaticamente transitorie che si rilevano poi essere 
resistenti ad ogni tentativo di modifica.

Più preoccupante, in un'ottica di lungo periodo, è forse l'atteggiamento 
della comunità scientifica nei confronti del difficile problema di come 
gestire risultati potenzialmente "pericolosi", come appunto le tecniche di 
steganografia.

Se studiosi piuttosto rinomati nel settore, come Neil Johson della George 
Mason University, rivendicano il diritto/dovere di far fuoriuscire con 
molta parsimonia i risultati delle loro ricerche - sia perché, come 
dichiarato da Johnson, "è rischioso divulgare queste informazioni: 
rivelando ciò che siamo o non siamo in grado di scoprire (utilizzando 
metodi di analisi steganografica, ndr) forniamo informazioni ai criminali 
che utilizzano tecniche steganografiche" - sia perché "una parte delle 
ricerche svolte necessitano del controllo dei nostri sponsor (coloro che ci 
forniscono gli assegni di ricerca) prima di essere pubblicate" - può 
sorgere spontaneo il dubbio se le dichiarazioni molto critiche verso la 
diffusione di informazioni sulla steganografia, rilasciate da Chet Hosmer, 
presidente della WetStone Technologies e produttore di un software 
proprietario per la rilevazione di messaggi steganografici all'interno di 
immagini, siano motivate da principi etici o da semplici calcoli di bottega.

A chi giova che le informazioni utili a scrivere un software steganografico 
rimangano all'interno di una stretta cerchia? È una domanda lecita 
soprattutto alla luce delle ulteriori dichiarazioni di Hosmer, secondo cui 
il software prodotto dalla sua ditta avrebbe rilevato nei mesi passati 
numerosi messaggi steganografici all'interno di siti porno e di E-Bay; 
queste dichiarazioni però non sono state seguite da alcun riscontro fattuale.

Hosmer ha anche partecipato ad un reportage della rete televisiva americana 
ABC in cui da un'innocua immagine appare magicamente l'immagine di uno 
stormo di B-52 a terra, immagine per altro disponibile tramite il servizio 
online Terraserver. Peccato che durante tutta la trasmissione ci si sia 
scordati di dire che quell'immagine era stata appositamente creata per 
dimostrare cosa fosse la steganografia.

Niels Provos, un ricercatore dell'Università del Michigan, è la mente 
principale dietro al progetto volto ad analizzare i due milioni di immagini 
presenti su eBay alla ricerca di messaggi steganografici. Dalle sue pagine 
web è possibile ottenere utili informazioni sugli strumenti informatici 
utilizzati per la ricerca, che a tutt'oggi non ha prodotto alcun risultato 
positivo - ovvero, non sono state rilevati messaggi steganografici su 
alcuna immagine di eBay. Il report stilato da Provos e dal suo gruppo è 
pubblicamente disponibile, a differenza dei risultati di Hosmer. Il gruppo 
di Provos è attualmente al lavoro per analizzare le immagini presenti su 
Usenet.

Interrogato circa la sua posizione rispetto alla liceità morale di far 
circolare informazioni circa le tecniche steganografiche, Provos ha così 
risposto:

La libertà accademica è uno dei valori essenziali delle università. È di 
beneficio alla società poiché permette l'avanzamento della conoscenza e la 
conoscenza può avanzare quando la ricerca è libera da costrizioni dello 
stato o della chiesa (...). Chi (negli Stati Uniti, ndr) è contro la 
pubblicazione sembra presupporre che solo i ricercatori statunitensi siano 
in grado di ottenere risultati in questo campo. Al momento, pare che la 
maggior parte della ricerca steganografica sia fatta in Europa o da 
cittadini non statunitensi (...). Un'altra motivazione contro la 
pubblicazione dei risultati delle ricerche sembra essere di ordine morale. 
Tuttavia, i valori morali cambiano a seconda delle persone. Dave Del Torto, 
della CryptoRights Foundation, mi disse una volta che la steganografia è 
fondamentale in quelle nazioni in cui avvengono violazioni dei diritti 
umani. In questi paesi, le comunicazioni dei cittadini vengono controllate 
e l'unico modo per denunciare queste violazioni è tramite la steganografia".

Sicuramente la scelta etica tra diffusione o meno di informazioni 
"sensibili" (ma tutte le informazioni sono potenzialmente sensibili) non 
può essere monolitica né essere presa una volta per tutte. È anche vero, 
tuttavia, che mai come in tempo di guerra i "poteri forti" hanno la 
tentazione di nascondere dietro al patriottismo interessi tutt'altro che 
generali. Le notizie false e tendenziose sulla steganografia a cui abbiamo 
dovuto assistere in questi giorni si inquadrano bene nella costruzione di 
un clima di sospetto per cui alla fine i diritti (digitali in questo caso) 
potrebbero essere equiparati a lussi che non ci possiamo permettere di 
questi tempi.

Andrea Glorioso
AnnoZero