ステガノグラフィのツールは、ふつうに見える画像、音声、ビデオの中に、ファイルやメッセージを隠します。よく知られたものは、古く、無料で、それぞれ別の用途のために作られています。コマンドラインでJPEGとWAVを扱うsteghide、PNG画像と透かし向けのOpenStego、JPEGの研究のためのOutGuess、Windowsで複数のファイルに隠すOpenPuff、そして長く続くオンラインのエンコーダです。このガイドでは、何の中に隠すか、最後に更新されたのはいつか、何に破られるか、それぞれ誰に向いているかで比較し、HideFileがどこに位置づけられ、どこには当てはまらないかを説明します。

Bingで「steganography tool」を検索すると、答えは同じ名前が並ぶカルーセルで、そのあとに、ブラウザ上のLSBエンコーダを勧めるAIの要約が続きます。どちらも教えてくれないのは、最も有名なツールが2003年以来リリースされていないこと、そしてクラッカーが、1,400万個のパスワードを、2秒でそれに試せることです。

「steganography tool」のBingの検索結果。OpenPuff、OutGuess、HiddenWave、StegHide、OpenStego、HStegoのカルーセルと、そのあとに、StegoToolkit、SteganoCrypt、StegOnlineなどのオンラインのLSBツールを挙げるAIの概要。
「steganography tool」、Bing、2026年10月14日。カルーセルにはツールの名前が並びます。それらがどれほど古いか、何に破られるかは、どこにも書かれていません。

ステガノグラフィのツールを一覧で

| ツール | 隠す先 | 最後のリリース | インターフェース | 何に破られるか | 向いている用途 | | --- | --- | --- | --- | --- | --- | | steghide | JPEG、BMP、WAV、AU | 0.5.1、2003年10月 | コマンドライン | stegseekが弱いパスフレーズを破り、パスフレーズなしでそのデータを検出する | CTFの問題、授業 | | OutGuess | JPEGの係数 | 0.4、2021年9月(復活プロジェクト) | コマンドライン | 2002年に発表されたブロック性の攻撃 | JPEGのステガノグラフィの仕組みを学ぶこと | | OpenPuff | 画像、音声、ビデオ、PDFの連鎖 | 4.01、2018年 | WindowsのGUI | 複雑さ。大きなファイルには多くのキャリアが必要 | おとりの層がほしい趣味の人 | | OpenStego | 画像、PNGとして保存 | 0.8.6、2023年1月 | JavaのGUIとコマンドライン | zstegがLSBのデータを認識する。パスワードのハッシュが弱い | 自分の画像への透かし | | オンラインのLSBツール | たいていPNGのピクセル | まちまち | ウェブページ | 単純なLSBは検出が簡単。画像をアップロードするものもある | パズルとデモ | | HideFile | PNG、JPEG、MP4、PDFの中の、暗号化されたレコード | 現行 | ブラウザ | 専用のツールが、データが追加されたことを検出できる | 共有デバイス上の非公開のファイル |

6つのツール、steghide、OutGuess、OpenPuff、OpenStego、オンラインのLSBツール、HideFileの比較カード。それぞれに、隠す先、最後のリリース、弱点、向いている用途が書かれています。
ここにあるどのツールにも、知られた弱点があります。用途で選び、弱点を踏まえて計画を立てましょう。

steghideは定番で、パスフレーズが防御のすべてです

steghideは、CTFの解説やYouTubeのチュートリアルの多くが前提とするツールで、経験豊富なRedditのコメント投稿者が手に取るものです。「ステガノグラフィを作り直すな、これを使え」と、ある人は言いました。JPEG、BMP、WAV、AUのカバーの中に、あらゆるファイルを隠します。プロジェクトのページには、今も「現在のバージョンは0.5.1」とあり、2003年10月15日にリリースされました。Linuxのディストリビューションが今もパッケージを提供しているので、簡単にインストールできますが、コード自体は、20年以上、上流のリリースがありません。

設計は、古さから思うより優れています。steghideは、ペイロードを圧縮して暗号化し(既定ではAESの暗号であるRijndael)、パスフレーズを使って、画像や音声のデータの疑似乱数の位置を選び、値を上書きするのではなく、ペアを入れ替えるので、全体の色やサンプルの数は変わりません。プロジェクトは、これを「一次の統計的検定」に耐えると説明しています。ご自身のファイルでの基本的な使い方は、こうです。

steghide embed -cf photo.jpg -ef note.txt
steghide extract -sf photo.jpg

弱点は、パスフレーズです。stegseekは、steghide専用に作られたクラッカーで、そのREADMEには、「rockyou.txtのすべてを2秒未満で試せる」とあります。rockyouは、漏えいした約1,400万個の実際のパスワードのリストです。パスワードなしでsteghideのメタデータを取り出すこともでき、ファイルにsteghideのデータがあること自体が、分析者に分かります。辞書にある単語は、したがって防御になりません。steghideを使うなら、長いランダムなパスフレーズを使い、データがあることは確認されうると考えてください。

OutGuessは、統計を意識したJPEGへの隠蔽の先駆けで、2002年に破られました

OutGuessは、Niels Provosが1999年に書いたもので、JPEGの圧縮された係数に直接作用します。埋め込んだあと、ほかの係数を調整して、画像全体の係数のヒストグラムを元と一致させます。これは、以前のJPEGのツールを捕まえた、カイ二乗検定による攻撃を破るために設計されたものでした。2002年に、Fridrich、Goljan、Hogeaは、JPEGのブロックの境界の「ブロック性」に基づく攻撃を発表し、OutGuessを検出して、隠したメッセージの長さを推定できました。

元のプロジェクトは、何年も止まっていました。復活グループのResurrecting Open Source Projectsが、2021年9月にバージョン0.4を公開し、現行のLinuxのパッケージが提供しているのは、それです。Wikipediaによれば、そのペイロードは壊れやすく、JPEGの再エンコードには耐えません。OutGuessは、JPEGのステガノグラフィとステガナリシスが、互いに先を越し合う様子をよく文書化した、教材の例として扱うのが最適です。

OpenPuffは、多くのキャリアにまたがって隠し、おとりのオプションがあります

OpenPuffは、Cosimo Oliboniによる、Windows用(サイトにはLinux版もあります)のポータブルなプログラムで、最新のバージョン4.01は2018年のものです。この一覧で最も野心的なツールです。1つのペイロードを、画像(BMP、JPG、PCX、PNG、TGA)、音声(AIFF、MP3、WAVなど)、ビデオ(3GP、MP4、MPG、VOB)、FlashやPDFファイルの連鎖に分散させ、「十分なキャリアがあれば」256 MBまで入れられます。複数の暗号を重ね、否認可能なステガノグラフィにも対応します。「極秘のデータは、それほど秘密でないデータをおとりにして守れます」。

代償は、複雑さです。パスワード、キャリアの順序、キャリアごとの設定を管理する必要があり、キャリアを1つなくすと、連鎖が壊れます。ライセンスについては、情報源の間で食い違いがあります(Wikipediaはクローズドソースのフリーウェアと呼び、ヘルプファイルはLGPLに言及しています)。他の人に監査してもらう必要があるものに頼る前に、確認してください。

OpenStegoは、最も親しみやすいデスクトップの選択肢で、透かしに最適です

OpenStegoは、無料のGPL-2.0のJavaアプリで、Windows、macOS、Linuxでグラフィカルなインターフェースがあります。GitHubの最新リリースは、2023年1月の0.8.6です。2つの仕事をします。ランダム化したLSBの方法で、画像にデータを隠すこと、そして、コピーが自分のものだとあとで証明できるように、見えない署名で画像に透かしを入れることです。

隠す用途では、出力は可逆のPNGとして保存されるので、誰かが画像をJPEGに変換するまで、ペイロードは残ります。検出はよく研究されています。PNGとBMPの一般的な解析ツールであるzstegは、認識する形式の1つとして、OpenStegoを挙げています。OpenStegoは、パスワードによるAES暗号化を提供しますが、そのソースは、固定のソルトと少数の反復で鍵を導出するため、弱いパスワードを安く推測できます。ご自身が公開する画像への透かしや、見つかっても問題のないLSBの隠蔽に使ってください。

オンラインのステガノグラフィのツールは、パズルには向きますが、非公開のファイルには向きません

上のBingの要約は、StegoToolkit、SteganoCrypt、StegOnlineなどの、ブラウザ上のツールを指しており、「steganography tools」の最上位の自然検索の結果は、オンラインのエンコーダです。ほとんどは、PNGへの単純なLSB埋め込みを行います。まさに、統計的な検出器が調整されている対象です。さらに大きな問題は、画像がどこへ行くかです。ブラウザの中で画像を処理するページもあれば、エンコードのためにサーバにアップロードするページもあります。どちらかをはっきり述べるページはまれなので、非公開のものを入れる前に、ブラウザのネットワークツールを開くか、サイトのドキュメントを読んでください。

検出ツールは、もう半分の世界です

隠すツールを作る同じコミュニティが、見つけるツールも作ります。stegseekはsteghideを狙います。zstegは、PNGとBMPのファイルを、LSBのデータと既知のツールのシグネチャについてチェックします。2001年のeBayの研究で使われたJPEGの検出器Stegdetectは、もう開発されていません。r/computerforensicsで、現代の代わりを尋ねたユーザーは、StegExposeなどの一連の検出器が、steghideで作った画像から何も見つけなかったと報告しました。「これらのツールのどれも、何も見つけなかった」。何も出なかったことは、ほとんど何も証明せず、フラグが立つことも、それとほとんど変わりません。隠した写真は見つかる?が、数字とともに説明しています。

HideFileは、隠すことと暗号化の組み合わせで、従来のステガノグラフィではありません

HideFileは、最近のブラウザで使うウェブサイトで、非公開の写真、ビデオ、PDF、書類を、ふつうのカバーファイル、つまりお好きな写真、ビデオ、PDFの中に入れます。カバーは、どこでもふつうのファイルとして開きます。hidefile.appでパスワードを入れて開くと、中のファイルが非公開のギャラリーとして表示されます。

厳密な意味でのステガノグラフィではなく、そうであるふりもしません。HideFileは、ピクセルを1つも変えませんし、統計的に自然に見せようともしません。ブラウザの中でファイルを暗号化し(XChaCha20-Poly1305で、鍵はパスワードを使ってArgon2idで保護されます)、ファイル形式が追加データのために許しているレコードとして保存するので、ファイルは有効なままです。専用のツールを使えば、データが追加されたことは分かりますが、パスワードなしには中身を読めません。ファイルは、HideFileのサーバにはアップロードされません。

従来のツールにはない実用性を提供します。フォルダごと、大きなビデオやPDF、ブラウズできるギャラリー、インストール不要、ほかのファイルと同じように新しいスマートフォンへコピーやバックアップできるカバーです。提供しないのは、分析者に対する不可視性です。方法の違いは、ステガノグラフィとはで説明しています。

選び方の案内。CTFや授業にはsteghideやOutGuess。公開する画像に透かしを入れるにはOpenStego。デバイスを使う人から非公開のファイルを守るにはHideFileのカバーファイル。訓練を受けた分析者からメッセージを隠すには、ここにあるどのツールも安全ではなく、持ち込むデータを減らす。
公開されているツールは、まさに分析者がテストしている対象です。どれも、プロに対する秘密の通信路ではありません。

HideFileでできること

ステガノグラフィのツールを比べている理由が、スマートフォンやノートパソコンの非公開の写真やファイルが、目立たなくなってほしいということなら、従来のツールは合いません。steghideとOutGuessは、小さなペイロードしか入らず、ターミナルが必要です。OpenStegoには、デスクトップとPNGが必要です。オンラインのエンコーダは、画像をアップロードするかもしれません。写真の金庫アプリは、もう1つのよくある答えですが、アイコンで存在を知らせてしまいます。写真の金庫アプリは安全?で説明しています。

HideFileは、その日常的な場合のために作られています。カバーを選び、ファイルを追加し、パスワードを設定して、ほかの写真や書類を保管している場所に、カバーを保存します。通りがかりにスクロールする人には、ふつうの画像が見えます。限界ははっきりさせておきます。HideFileが防げるのは、ちょっとした覗き見です。フォレンジックツールは防げません。パスワードの復旧はできないので、パスワードを忘れると、ファイルは失われます。写真を再エンコードするアプリは、隠した部分を失わせることがあるので、カバーは、ファイルとして送信、バックアップしてください。訓練を受けた調査官、国境での検査、法的な圧力には、適したツールではなく、この表のほかのどれもそうです。特別なソフトウェアなしで人が使う手口は、ファイルを人目につく場所に隠す方法をご覧ください。

出典