Steganografie: hoe informatie onzichtbaar verstopt wordt in gewone bestanden
Stel je voor: je stuurt een simpele vakantiefoto naar een vriend via WhatsApp. Niets aan de hand, toch? Maar wat als in die foto, onzichtbaar voor het blote oog, een compleet geheim bericht verstopt zit — een tekstje, een wachtwoord, of zelfs een stukje computercode? Dat is in de kern wat steganografie is: de kunst en techniek om informatie te verbergen in iets wat volkomen onschuldig lijkt, zodat niemand behalve de bedoelde ontvanger doorheeft dat er überhaupt een boodschap verstopt zit.
Het woord komt uit het Grieks: steganos betekent "bedekt" en graphein betekent "schrijven". Waar cryptografie een bericht onleesbaar maakt (je ziet wél dat er een geheime code is, maar kunt hem niet kraken), gaat steganografie een stap verder: je ziet niet eens dát er een geheim bericht bestaat. Het is het verschil tussen een dagboek met een slot erop, en een dagboek dat vermomd is als een gewoon kookboek — niemand die het openslaat, vermoedt dat er iets bijzonders in staat.
Wat is het precies?
De basisgedachte achter steganografie is altijd hetzelfde: neem een "drager" (in het Engels cover medium genoemd) — dat kan een foto, een geluidsbestand, een video, of zelfs een stuk gewone tekst zijn — en verstop daarin extra informatie zonder dat de drager zichtbaar verandert.
Bij digitale afbeeldingen gebeurt dit vaak met een techniek die "least significant bit"-steganografie heet, afgekort LSB. Een digitale foto bestaat uit miljoenen pixels, en elke pixel krijgt een kleurwaarde die is opgebouwd uit cijfers (bytes). Het laatste, minst belangrijke cijfer van zo'n kleurwaarde bepaalt een piepklein beetje van de kleur — een verschil dat het menselijk oog totaal niet kan zien. Door dat laatste cijfertje in duizenden pixels te vervangen door de cijfers van je geheime boodschap, verstop je in feite tekst of code in de foto, terwijl de afbeelding er voor iedereen identiek uitziet.
Er bestaan ook veel andere methoden. In geluidsbestanden kun je informatie verstoppen in frequenties die mensen niet of nauwelijks horen. In tekstdocumenten kun je een geheime boodschap coderen door net iets meer of minder spaties tussen woorden te zetten, of door woordkeuzes subtiel te sturen. Zelfs in de bestandsstructuur zelf — de "metadata" die niets met de zichtbare inhoud te maken heeft — kan informatie worden weggestopt.
Het tegenovergestelde vak heet steganalyse: het opsporen van verborgen boodschappen. Dat is vaak lastiger dan het verstoppen zelf, omdat je op zoek moet naar statistische afwijkingen die wijzen op manipulatie, zonder vooraf te weten of, waar en hoe iets verstopt is.
Wat wil men ermee bereiken?
De motivatie achter steganografie is uiteenlopend, en niet per se verdacht. Journalisten en mensenrechtenactivisten in landen met strenge censuur gebruiken het soms om berichten te versturen zonder dat een overheid zelfs maar merkt dat er gecommuniceerd wordt — want zodra iemand ziet dat je versleutelde berichten stuurt, trek je al aandacht, ook al kan die persoon de inhoud niet lezen.
Digitale watermerken zijn een ander, legitiem toepassingsgebied: fotografen en filmmakers verstoppen onzichtbare identificatiecodes in hun werk om te kunnen bewijzen dat een afbeelding van hen is, mocht die zonder toestemming worden gebruikt.
Helaas wordt dezelfde techniek ook misbruikt. Criminelen en statelijke actoren gebruiken steganografie om kwaadaardige software (malware) te verstoppen in ogenschijnlijk onschuldige bestanden, of om instructies door te sturen naar geïnfecteerde computers zonder dat beveiligingssystemen dat opmerken. Omdat traditionele antivirussoftware vooral let op verdachte bestandstypen en bekende patronen, glipt een boodschap die verstopt zit in een doodgewone JPEG-foto vaak ongezien door de mazen van het net.
Voorbeelden uit de praktijk
Steganografie is geen nieuw fenomeen — al in de oudheid werden berichten getatoeëerd op het geschoren hoofd van een boodschapper, waarna het haar weer aangroeide om de tekst te verbergen. Tijdens de Tweede Wereldoorlog gebruikten spionnen zogeheten "microdots": complete pagina's tekst verkleind tot de grootte van een punt op een i, verstopt in een gewone brief.
In het digitale tijdperk zijn er inmiddels diverse goed gedocumenteerde gevallen. Beveiligingsbedrijf Kaspersky ontdekte in 2015 de malware Duqu 2.0, die gegevens verstopte in JPEG-afbeeldingen om detectie te omzeilen. De Russisch gelinkte hackersgroep Turla werd in 2017 door onderzoekers van ESET betrapt op het versturen van instructies aan besmette computers via afbeeldingen die gewoon op sociale media en fora werden gepost — voor een buitenstaander niets dan doodgewone plaatjes.
Het onlinepuzzelfenomeen Cicada 3301, dat vanaf 2012 wereldwijd duizenden puzzelaars bezighield, maakte uitgebreid gebruik van steganografie: verborgen coördinaten en tekst zaten verstopt in afbeeldingen die her en der op internet werden gepubliceerd. En de banktrojan Vawtrak (rond 2015) verstopte configuratiegegevens voor criminele servers in het favicon-icoontje van een website — het piepkleine plaatje dat je in een browsertabblad ziet.
Hoe ver is de techniek?
Steganografie is technisch gezien een volwassen vakgebied: de basisprincipes zijn al decennia bekend en relatief eenvoudig te implementeren, zeker voor simpele varianten zoals LSB-steganografie in afbeeldingen. Wat wél voortdurend verandert, is de wedloop tussen verbergen en opsporen.
Moderne steganalyse maakt steeds vaker gebruik van machine learning: algoritmes die getraind zijn op miljoenen bestanden leren subtiele statistische patronen herkennen die op het blote oog niet zichtbaar zijn, maar die verraden dat een bestand gemanipuleerd is. Dat heeft weer geleid tot geavanceerdere verbergtechnieken die expliciet proberen die detectiemodellen te omzeilen — een kat-en-muisspel zonder duidelijk eindpunt.
Een belangrijke beperking blijft de hoeveelheid informatie die je kunt verstoppen: hoe meer data je in een drager stopt, hoe groter de kans dat er meetbare afwijkingen ontstaan die steganalyse kan oppikken. Ook is het lastig om een geheim bericht te laten "overleven" als het drager-bestand daarna wordt gecomprimeerd of bewerkt (bijvoorbeeld wanneer een foto via WhatsApp of Instagram wordt geüpload en automatisch verkleind) — vaak gaat de verborgen informatie daarbij verloren. Onderzoekers werken aan robuustere methoden, maar een pasklare, waterdichte oplossing bestaat nog niet.
Wie werken eraan?
Onderzoek naar steganografie en steganalyse vindt vooral plaats binnen de academische wereld en bij cybersecuritybedrijven. Universitaire onderzoeksgroepen wereldwijd, veelal verbonden aan faculteiten voor informatica en digitale forensica, publiceren regelmatig in vaktijdschriften over nieuwe verberg- en detectiemethoden.
Op het gebied van dreigingsonderzoek zijn commerciële beveiligingsbedrijven zoals Kaspersky, ESET en Symantec (onderdeel van Broadcom) toonaangevend: hun onderzoeksteams ontdekken en documenteren regelmatig nieuwe gevallen van steganografie in malwarecampagnes. Overheidsinstanties zoals het Amerikaanse NIST (National Institute of Standards and Technology) en Europese cybersecurity-organisaties zoals ENISA volgen de ontwikkelingen en publiceren richtlijnen voor digitale forensische opsporing, waarin steganalyse een vast onderdeel is.
Daarnaast houden mensenrechtenorganisaties en digitale-privacygroeperingen, zoals de Amerikaanse Electronic Frontier Foundation, zich bezig met de andere kant van de medaille: hoe activisten en journalisten deze technieken veilig kunnen gebruiken om censuur te omzeilen, zonder daarbij zelf slachtoffer te worden van surveillance.