Skjul en melding i tekst

Slik skjuler du en melding

1. Skriv Dekktekst (det alle ser): en vanlig setning som ser helt lik ut etterpå.
2. Skriv Hemmelig melding.
3. Du kan også oppgi en Passordfrase (valgfritt). Meldingen krypteres da med AES-256-GCM før den skjules, så det holder ikke å kjenne metoden for å lese den.
4. Velg Hvor de skjulte tegnene skal plasseres: Etter det første ordet (standard), Spredt mellom ordene, Helt i begynnelsen eller Helt på slutten.
5. Klikk Skjul melding, og kopier Tekst med den skjulte meldingen med kopieringsknappen. Åpne Vis hvor de skjulte tegnene er for å se dem som ◆-symboler.

Slik avslører eller fjerner du en skjult melding

1. Lim inn teksten i Tekst som skal sjekkes. Antall nullbredde tegn vises under boksen.
2. Klikk Avslør melding. Hvis meldingen er kryptert, skriver du inn Passordfrase (hvis meldingen er kryptert) og klikker på nytt.
3. For å rense en tekst klikker du Fjern skjulte tegn: du får den samme teksten uten de skjulte dataene. Emojier som 👨‍👩‍👧, som med rette bruker usynlige bindetegn, blir stående urørt.

Alt skjer i nettleseren din. Verken teksten eller passordfrasen sendes noe sted.

Slik fungerer det

Unicode inneholder tegn som ikke tar plass på skjermen. Dette verktøyet bruker fire av dem som sifre: ZERO WIDTH SPACE (U+200B) = 00, ZERO WIDTH NON-JOINER (U+200C) = 01, ZERO WIDTH JOINER (U+200D) = 10 og WORD JOINER (U+2060) = 11. Meldingen din gjøres om til UTF-8-byte, og hver byte blir fire usynlige tegn. Blokken begynner og slutter med et ZERO WIDTH NO-BREAK SPACE (U+FEFF) og har en byte med topptekst som forteller om innholdet er vanlig tekst eller kryptert.

Den skjulte delen vokser derfor raskt: en melding på 20 bokstaver legger til omtrent 90 usynlige tegn, og kryptering legger til 49 byte med topptekst og autentiseringsmerke (omtrent 200 tegn til). I UTF-8 tar hvert av disse tegnene 3 byte, noe som har betydning for felt med bytegrense. Størrelse i UTF-8 i resultatet viser den virkelige størrelsen på hele teksten.

Med en passordfrase bruker verktøyet samme format som verktøyet for tekstkryptering: PBKDF2-SHA-256 med 600 000 iterasjoner utleder nøkkelen, AES-256-GCM krypterer, og en feil passordfrase eller ett eneste endret tegn gjør at dekrypteringen mislykkes i stedet for å gi meningsløs tekst. Meldingen kan inneholde alle tegn, også norske bokstaver som æ, ø og å, siden den lagres som UTF-8.

Grenser: et knep, ikke sikkerhet

• Mange plattformer fjerner nullbredde tegn. Noen meldingsapper, sosiale nettverk, skjemafelt og tekstbehandlere fjerner eller normaliserer dem. Test først med målet: lim resultatet inn der, kopier det tilbake og klikk Avslør melding.
• Delvise kopier ødelegger meldingen. Hvis leseren bare kopierer en del av teksten, er blokken ufullstendig, og verktøyet melder den som regel som skadet.
• Det er lett å oppdage. Et verktøy som sjekker usynlige tegn, et hex-program eller en enkel telling avslører at noe er der. Å skjule at en melding finnes for en målbevisst iakttaker er ikke mulig på denne måten.
• Uten passordfrase er det bare tilsløring. Alle som kjenner denne vanlige teknikken, kan dekode den. Bruk en sterk passordfrase til alt som er følsomt, og del den via en annen kanal.

For å fjerne alle slags usynlige tegn (harde mellomrom, tegn for tekstretning, myke bindestreker og mer) bruker du verktøyet for å fjerne usynlige tegn.