Verborgen bericht in tekst

Zo verberg je een bericht

1. Typ de Dekmanteltekst (wat iedereen ziet): een gewone zin die er na afloop precies hetzelfde uitziet.
2. Typ het Geheime bericht.
3. Vul eventueel een Wachtwoordzin in. Het bericht wordt dan eerst versleuteld met AES-256-GCM, zodat het niet genoeg is om de methode te kennen om het te lezen.
4. Kies Waar de verborgen tekens komen: Na het eerste woord (standaard), Verspreid tussen de woorden, Helemaal aan het begin of Helemaal aan het eind.
5. Klik op Bericht verbergen en kopieer daarna de Tekst met het verborgen bericht met de kopieerknop. Open Laat zien waar de verborgen tekens staan om ze als ◆-symbolen te zien.

Zo onthul of verwijder je een verborgen bericht

1. Plak de tekst in Te controleren tekst. Onder het vak verschijnt het aantal tekens zonder breedte.
2. Klik op Bericht onthullen. Is het bericht versleuteld, vul dan de Wachtwoordzin (als het bericht versleuteld is) in en klik nog een keer.
3. Wil je een tekst opschonen, klik dan op Verborgen tekens verwijderen: je krijgt dezelfde tekst zonder de verborgen gegevens. Emoji zoals 👨‍👩‍👧, die terecht onzichtbare verbindingstekens gebruiken, blijven heel.

Alles gebeurt in je browser; de tekst en de wachtwoordzin worden nergens naartoe verzonden.

Hoe het werkt

Unicode bevat tekens die op het scherm geen ruimte innemen. Deze tool gebruikt er vier als cijfers: ZERO WIDTH SPACE (U+200B) = 00, ZERO WIDTH NON-JOINER (U+200C) = 01, ZERO WIDTH JOINER (U+200D) = 10 en WORD JOINER (U+2060) = 11. Je bericht wordt omgezet naar UTF-8-bytes, en elke byte wordt vier onzichtbare tekens. Het blok begint en eindigt met een ZERO WIDTH NO-BREAK SPACE (U+FEFF) en bevat een header van één byte die aangeeft of de inhoud gewone tekst is of versleuteld.

Het verborgen deel groeit dus snel: een bericht van 20 letters voegt ongeveer 90 onzichtbare tekens toe, en versleuteling voegt 49 bytes aan header en authenticatietag toe (ongeveer 200 tekens extra). In UTF-8 neemt elk van deze tekens 3 bytes in, wat telt bij velden met een bytelimiet. Grootte in UTF-8 in de resultaten toont de echte grootte van de hele tekst.

Met een wachtwoordzin gebruikt de tool hetzelfde formaat als de tool voor tekstversleuteling: PBKDF2-SHA-256 met 600.000 iteraties leidt de sleutel af, AES-256-GCM versleutelt, en bij een verkeerde wachtwoordzin of één gewijzigd teken mislukt het ontsleutelen in plaats van dat er onzin uitkomt.

Beperkingen: een truc, geen beveiliging

• Veel platforms verwijderen tekens zonder breedte. Sommige berichtenapps, sociale netwerken, formuliervelden en tekstverwerkers halen ze weg of normaliseren ze. Test eerst op de bestemming: plak het resultaat daar, kopieer het terug en klik op Bericht onthullen.
• Een gedeeltelijke kopie breekt het bericht. Kopieert de lezer maar een deel van de tekst, dan is het blok onvolledig en meldt de tool meestal dat het beschadigd is.
• Het is makkelijk op te sporen. Elke checker voor onzichtbare tekens, een hex-editor of een simpele telling laat zien dat er iets staat. Het bestaan van een bericht verbergen voor iemand die echt zoekt, lukt op deze manier niet.
• Zonder wachtwoordzin is het alleen verhulling. Iedereen die deze bekende techniek kent, kan het bericht decoderen. Gebruik voor gevoelige inhoud een sterke wachtwoordzin en deel die via een ander kanaal.

Wil je elke soort onzichtbaar teken verwijderen (harde spaties, tekens voor schrijfrichting, zachte afbreekstreepjes en meer), gebruik dan de tool Onzichtbare tekens verwijderen.