Esconder uma mensagem num texto

Como esconder uma mensagem

1. Escreve o Texto de cobertura (o que toda a gente vê): uma frase normal, que vai parecer exatamente igual depois.
2. Escreve a Mensagem secreta.
3. Se quiseres, introduz uma Frase-passe (opcional). A mensagem é então encriptada com AES-256-GCM antes de ser escondida, por isso conhecer o método não chega para a ler.
4. Escolhe Onde colocar os caracteres escondidos: Depois da primeira palavra (por omissão), Espalhados entre as palavras, Mesmo no início ou Mesmo no fim.
5. Carrega em Esconder mensagem e copia o Texto com a mensagem escondida com o botão Copiar. Abre Mostrar onde estão os caracteres escondidos para os veres como símbolos ◆.

Como revelar ou remover uma mensagem escondida

1. Cola o texto em Texto a verificar. O número de caracteres de largura zero aparece por baixo da caixa.
2. Carrega em Revelar mensagem. Se a mensagem estiver encriptada, introduz a Frase-passe (se a mensagem estiver encriptada) e carrega outra vez.
3. Para limpar um texto, carrega em Remover caracteres escondidos: obténs o mesmo texto sem os dados escondidos. Os emojis como 👨‍👩‍👧, que usam legitimamente caracteres de junção invisíveis, ficam intactos.

Tudo acontece no teu navegador; nem o texto nem a frase-passe são enviados para lado nenhum.

Como funciona

O Unicode tem caracteres que não ocupam espaço no ecrã. Esta ferramenta usa quatro deles como algarismos: ZERO WIDTH SPACE (U+200B) = 00, ZERO WIDTH NON-JOINER (U+200C) = 01, ZERO WIDTH JOINER (U+200D) = 10 e WORD JOINER (U+2060) = 11. A tua mensagem é convertida em bytes UTF-8, e cada byte passa a quatro caracteres invisíveis. O bloco começa e acaba com um ZERO WIDTH NO-BREAK SPACE (U+FEFF) e leva um cabeçalho de um byte que indica se o conteúdo é texto simples ou encriptado.

Por isso, a parte escondida cresce depressa: uma mensagem de 20 letras acrescenta cerca de 90 caracteres invisíveis, e a encriptação junta 49 bytes de cabeçalho e etiqueta de autenticação (cerca de 200 caracteres a mais). As letras acentuadas do português ocupam 2 bytes em UTF-8, por isso também contam a dobrar. Em UTF-8, cada um destes caracteres invisíveis ocupa 3 bytes, o que importa nos campos com limite em bytes. Tamanho em UTF-8, nos resultados, mostra o tamanho real do texto completo.

Com uma frase-passe, a ferramenta usa o mesmo formato que a ferramenta de encriptação de texto: o PBKDF2-SHA-256 com 600 000 iterações deriva a chave, o AES-256-GCM encripta, e uma frase-passe errada ou um único carácter alterado fazem a desencriptação falhar, em vez de devolverem lixo.

Limites: um truque, não segurança

• Muitas plataformas removem os caracteres de largura zero. Algumas aplicações de mensagens, redes sociais, campos de formulário e processadores de texto removem-nos ou normalizam-nos. Testa primeiro com o destino: cola lá o resultado, volta a copiá-lo e carrega em Revelar mensagem.
• As cópias parciais estragam a mensagem. Se quem lê copiar só uma parte do texto, o bloco fica incompleto e a ferramenta indica normalmente que está danificado.
• É fácil de detetar. Qualquer verificador de caracteres invisíveis, um editor hexadecimal ou uma simples contagem revelam que há ali alguma coisa. Desta forma, não é possível esconder a existência de uma mensagem de um observador determinado.
• Sem frase-passe, é só ofuscação. Qualquer pessoa que conheça esta técnica comum a consegue descodificar. Usa uma frase-passe forte para tudo o que for sensível e partilha-a por outro canal.

Para remover todos os tipos de caracteres invisíveis (espaços inseparáveis, controlos bidirecionais, hífenes condicionais e muito mais), usa o removedor de caracteres invisíveis.