Eliminar datos ocultos de archivos ICO
12 Un formato hecho para guardar varias imágenes a la vez, no una sola foto
ICO es lo que usa Windows para los iconos de aplicaciones y lo que usan los navegadores para los
favicons - y, a diferencia de cualquier otro formato de este sitio, un solo archivo .ico
es en realidad un pequeño contenedor que puede guardar varias versiones de la misma imagen en distintos
tamaños y profundidades de color (16×16, 32×32, 256×256, etc.), para que el sistema operativo elija la
que mejor encaje según el contexto. Prácticamente no existe un estándar de metadatos para ICO como sí
existe EXIF para JPEG - ningún GPS, ninguna información de cámara, nada de eso termina jamás en uno. El
riesgo real aquí está más cerca de la categoría estructural de "no confiar en los bytes" que de la
categoría de privacidad que este sitio cubre para las fotos de cámara.
Profundiza: lo único con lo que ICO se parece casi por completo, tratado de forma distinta a propósito
La firma del archivo ICO son 4 bytes: 00 00 01 00. Cambia exactamente uno de esos
bytes - 00 00 02 00 - y tienes un archivo CUR en su lugar: el formato de Windows para
cursores animados, que reutiliza casi toda la estructura de contenedor de ICO con un campo de "tipo"
distinto y una coordenada extra de punto de referencia por imagen. Esta herramienta reconoce
deliberadamente solo la firma de ICO y trata un archivo CUR como no reconocido en lugar de suponer
que "es básicamente lo mismo" - el mismo principio detrás de negarse a confiar en la extensión de un
archivo en cualquier otro lugar de este sitio. Los distintos tamaños de icono incrustados dentro de
un archivo ICO válido se decodifican y se tienen en cuenta todos; solo la primera imagen más grande y
adecuada se lleva a través del proceso de desinfección, por eso un ICO con varios tamaños de entrada
siempre vuelve como una única imagen plana de salida.
Dónde suele estar el riesgo real de un ICO
Como el ICO aparece con más frecuencia como el favicon que está discretamente en un sitio web, o un icono incluido dentro de software que descargaste, el modelo de amenaza más realista es el mismo que cubre la página de comparativa para ataques estructurales en general - un contenedor malformado o deliberadamente manipulado engañando a un analizador descuidado - en lugar de una filtración de metadatos de una cámara. Decodificar por completo a píxeles en bruto y reconstruir desde cero, la misma garantía que esta herramienta aplica a cualquier formato, elimina esa categoría de riesgo sin importar lo que la estructura interna de un archivo ICO afirmara sobre sí misma.