Challenge
Find what's hidden.
Three levels built on Stiger's public spec. Everything you need is published: the format, two reference decoders and the stickers below. No app, no iPhone.
Keep the files as they are. Some browsers and messengers recompress images, and one changed bit loses the message; the zip keeps them intact.
Level 1 — A postcard
This sticker carries a message in open mode: no password, no encryption. You only need to know where to look.
Hint: not every pixel counts.
New to LSB? LSB steganography in five minutes.
Level 2 — Four digits
This one uses stealth-v3: AES-256-GCM under a key derived with PBKDF2-SHA256 at 600,000 iterations, and the bits spread in an order that depends on the password.
The password is a four-digit PIN. How long does your machine take to find it? And how long would it take if the password were a real one?
Level 3 — Which ones talk?
Eight stickers. Three of them carry a message encrypted under a password nobody knows, us included. You don't need to read them: just say which ones they are.
Version 2, 14 October 2026. The first version of this level fell to a chi-square test on the blue low bits: the three carriers were uniform noise there and the five clean stickers were not. Stiger now gives every sticker it sends a random blue low-bit plane, whether it carries anything or not, and this set is built the same way. The files are no longer padded to one size either, because the app doesn't pad any more. I don't know a way to answer this version without a password. If you find one, write to me. The first set stays up: 1, 2, 3, 4, 5, 6, 7, 8.
The flag is STIGER{…} with eight bits, sticker 1 to 8:
1 if it carries something, 0 if it doesn't.
Check your flags
Flags look like STIGER{…}. Levels 1 and 2 are published
as SHA-256 hashes, so you can check yours locally:
printf '%s' 'STIGER{…}' | shasum -a 256- Level 1:
f19caf55461747753c7a333de04008f545a8f2fac212f4228a940b43aea56e7e - Level 2:
612c7a401c964fc2f579e8dc0b0a12796ac268ec9442e7d4c25c33d37eced8fd - Level 3: no hash. With 56 possible answers, a hash would give it away.
Solved it?
Send your flags to challenge@onegoodman.studio with the subject "Stiger challenge": two or three lines on how you got there, and a name or handle if you want one in the hall of fame. Every answer is checked by hand.
Hall of fame
Nobody yet. The first name goes here.
What it shows
- Open mode is a postcard: anyone who reads the spec can read it.
- 600,000 iterations make every guess expensive, but a short password still falls.
- Encryption protects the content; it doesn't always hide that something is there. That limit is in the threat model.
Leer en español
Tres niveles construidos sobre la especificación pública de Stiger.
Todo lo que necesitás está publicado: el formato, dos decodificadores
de referencia y los stickers de arriba. No hace falta la app ni un
iPhone. Las flags tienen el formato STIGER{…}.
Nivel 1 — La postal
level1.png lleva un mensaje en modo abierto: sin
contraseña y sin cifrado. Solo hay que saber dónde mirar. Pista: no
todos los píxeles cuentan.
Nivel 2 — Cuatro cifras
level2.png usa el modo stealth-v3: AES-256-GCM con una
clave derivada por PBKDF2-SHA256 con 600.000 iteraciones, y los bits
repartidos en un orden que depende de la contraseña. La contraseña es
un PIN de cuatro cifras. ¿Cuánto tarda tu máquina en encontrarlo? ¿Y
cuánto tardaría si la contraseña fuera de verdad?
Nivel 3 — ¿Cuáles hablan?
En level3/ hay ocho stickers. Tres llevan un mensaje
cifrado con una contraseña que nadie conoce, ni siquiera nosotros. No
hace falta leerlos: alcanza con decir cuáles son. Versión 2, 14 de octubre de 2026: la primera versión de
este nivel cayó con un test de chi-cuadrado sobre los bits bajos del azul (los tres
portadores eran ruido uniforme; los cinco limpios, no). Ahora Stiger le pone a cada
sticker que envía un plano aleatorio de bits bajos del azul, lleve algo o no, y este
conjunto está armado igual; tampoco hay ya relleno a un mismo peso. No conozco una
forma de responder esta versión sin la contraseña. Si la encontrás, escribime. El
primer conjunto sigue en level3-v1/. La flag es STIGER{…} con
ocho bits, en orden del sticker 1 al 8: 1 si lleva algo,
0 si no.
¿Lo resolviste?
Los hashes SHA-256 de las flags 1 y 2 están arriba para que verifiques por tu cuenta; el nivel 3 no tiene hash, porque con 56 respuestas posibles lo regalaría. Mandá tus flags a challenge@onegoodman.studio con el asunto «Stiger challenge», dos o tres líneas sobre cómo lo resolviste y, si querés, un nombre o alias para el salón de la fama.