TTL Stegano — Données dans le champ TTL

Principe

Le champ TTL (Time To Live, 8 bits) d'un paquet IP peut encoder de l'information en modulant sa valeur paquet par paquet (ex: TTL pair = 0, impair = 1, ou variations autour d'une base). Canal caché de stockage simple mais furtif.

Mécanisme & analyse

# Émetteur : moduler le TTL selon les bits à transmettre
from scapy.all import *
for bit in bits:
    send(IP(dst=t, ttl=64 + bit)/ICMP())

# Analyse (pcap) : extraire et décoder la suite de TTL
tshark -r cap.pcap -T fields -e ip.ttl

Détection

Le TTL d'un flux légitime est normalement constant (dépend de l'OS et du nombre de sauts). Des variations de TTL au sein d'un même flux sont anormales et trahissent un canal caché — facile à repérer par baseline du trafic.