TEMPEST ( Telecommunications Electronics Materials Protected from Emanating Spurious Transmissions [1] ) — спецификация Агентства национальной безопасности США и сертификация НАТО [2] [3], касающаяся шпионажа за информационными системами посредством утечки излучений, включая непреднамеренные радио- или электрические сигналы, звуки и вибрации. [4] [5] TEMPEST охватывает как методы шпионажа за другими, так и способы защиты оборудования от такого шпионажа. Меры защиты также известны как защита от излучений (EMSEC), которая является подмножеством безопасности связи (COMSEC). [6] Методы приема подпадают под действие радиочастотного MASINT .
Методы АНБ по шпионажу за компьютерными излучениями засекречены, но некоторые стандарты защиты были опубликованы либо АНБ, либо Министерством обороны. [7] Защита оборудования от шпионажа осуществляется с помощью расстояния, экранирования, фильтрации и маскирования. [8] Стандарты TEMPEST предписывают такие элементы, как расстояние оборудования от стен, количество экранирования в зданиях и оборудовании, а также расстояние между проводами, несущими секретные и несекретные материалы, [7] фильтры на кабелях и даже расстояние и экранирование между проводами или оборудованием и трубами здания. Шум также может защитить информацию, маскируя фактические данные. [8]
Хотя большая часть TEMPEST касается утечки электромагнитных излучений , она также охватывает звуки и механические вибрации. [7] Например, можно регистрировать нажатия клавиш пользователем с помощью датчика движения внутри смартфонов . [9] Компрометирующие излучения определяются как непреднамеренные сигналы, несущие разведывательную информацию , которые при перехвате и анализе ( атака по сторонним каналам ) могут раскрыть информацию, переданную, полученную, обработанную или иным образом обработанную любым оборудованием для обработки информации. [10]
Во время Второй мировой войны Bell System поставляла американским военным микшерное устройство 131-B2, которое шифровало сигналы телетайпа, выполняя операцию XOR с ключевым материалом из одноразовых лент ( система SIGTOT ) или, ранее, роторный генератор ключей под названием SIGCUM . Он использовал электромеханические реле в своей работе. Позже Bell сообщил Корпусу связи, что они смогли обнаружить электромагнитные всплески на расстоянии от микшера и восстановить открытый текст. Встретив скептицизм по поводу того, может ли явление, которое они обнаружили в лаборатории, действительно быть опасным, они продемонстрировали свою способность восстанавливать открытый текст из криптоцентра Корпуса связи на Варик-стрит в Нижнем Манхэттене. Теперь встревоженные Корпус связи попросили Белла провести дальнейшее расследование. Белл определил три проблемные области: излучаемые сигналы, сигналы, передаваемые по проводам, идущим от объекта, и магнитные поля. В качестве возможных решений они предложили экранирование, фильтрацию и маскировку.
Bell разработала модифицированный микшер 131-A1 с экранированием и фильтрацией, но он оказался сложным в обслуживании и слишком дорогим в развертывании. Вместо этого соответствующие командиры были предупреждены о проблеме и им было рекомендовано контролировать зону диаметром 100 футов (30 м) вокруг своего центра связи, чтобы предотвратить скрытое прослушивание, и на этом все было оставлено. Затем в 1951 году ЦРУ вновь обнаружило проблему с микшером 131-B2 и обнаружило, что они могут восстанавливать открытый текст с линии, передающей зашифрованный сигнал, на расстоянии четверти мили. Были разработаны фильтры для сигнальных и силовых линий, а рекомендуемый радиус периметра контроля был увеличен до 200 футов (61 м), основываясь больше на том, чего можно было ожидать от командиров, чем на каких-либо технических критериях.
Последовал длительный процесс оценки систем и разработки возможных решений. Были обнаружены и другие компрометирующие эффекты, такие как колебания в линии электропередачи при шаге роторов. Вопрос об использовании шума электромеханических систем шифрования был поднят в конце 1940-х годов, но теперь был переоценен как возможная угроза. Акустические излучения могли раскрыть открытый текст, но только если устройство для приема сигнала находилось близко к источнику. Тем не менее, даже посредственные микрофоны справлялись. Звукоизоляция помещения усугубила проблему, устранив отражения и обеспечив более чистый сигнал для записывающего устройства.
В 1956 году Военно-морская исследовательская лаборатория разработала лучший смеситель, который работал при гораздо более низких напряжениях и токах и, следовательно, излучал гораздо меньше. Он был включен в новые системы шифрования АНБ. Однако многим пользователям требовались более высокие уровни сигнала для управления телетайпами на больших расстояниях или там, где было подключено несколько телетайпов, поэтому новые устройства шифрования включали возможность переключения сигнала обратно на более высокую мощность. АНБ начало разрабатывать методы и спецификации для изоляции путей чувствительной связи посредством фильтрации, экранирования, заземления и физического разделения: тех линий, которые передавали чувствительный открытый текст, — от тех, которые предназначались для передачи только нечувствительных данных, причем последние часто выходили за пределы безопасной среды. Эти усилия по разделению стали известны как концепция красного/черного . Совместная политика 1958 года под названием NAG-1 установила стандарты излучения для оборудования и установок на основе предела контроля в 50 футов (15 м). В ней также были указаны уровни классификации различных аспектов проблемы TEMPEST. Политика была принята Канадой и Великобританией в следующем году. Основную часть усилий по его реализации должны были выполнить шесть организаций: Военно-морской флот, армия, военно-воздушные силы, Агентство национальной безопасности, ЦРУ и Государственный департамент.
Трудности возникли быстро. Компьютеризация становилась важной для обработки разведывательных данных, и компьютеры и их периферийные устройства должны были быть оценены, при этом многие из них продемонстрировали уязвимости. Friden Flexowriter , популярная в то время пишущая машинка ввода-вывода, оказалась одним из самых мощных излучателей, читаемая на расстоянии до 3200 футов (0,98 км) в полевых испытаниях. Совет по безопасности связи США (USCSB) разработал политику Flexowriter, которая запрещала его использование за рубежом для секретной информации и ограничивала его использование в США уровнем «Конфиденциально» , а затем только в пределах зоны безопасности 400 футов (120 м), но пользователи сочли эту политику обременительной и непрактичной. Позже АНБ обнаружило похожие проблемы с введением дисплеев на электронно-лучевых трубках ( ЭЛТ ), которые также были мощными излучателями.
Был многолетний процесс перехода от рекомендаций политики к более строго соблюдаемым правилам TEMPEST. Итоговая Директива 5200.19, согласованная с 22 отдельными агентствами, была подписана министром обороны Робертом Макнамарой в декабре 1964 года, но все равно потребовались месяцы для ее полной реализации. Официальное внедрение АНБ вступило в силу в июне 1966 года.
Между тем, проблема акустических излучений стала более критической с обнаружением около 900 микрофонов в американских установках за рубежом, большинство из которых находились за железным занавесом . Ответом стало строительство корпусов типа «комната в комнате», некоторые из которых были прозрачными и прозваны «аквариумами». Другие блоки [ требуется разъяснение ] были полностью экранированы [ требуется разъяснение ] для сдерживания электронных излучений, но были непопулярны среди персонала, который должен был работать внутри; они называли корпуса «мясными шкафами», а иногда просто оставляли их двери открытыми. Тем не менее, они были установлены в критически важных местах, таких как посольство в Москве, где было установлено два: один для использования Госдепартаментом и один для военных атташе. Блок, установленный в АНБ для его оборудования генерации ключей, стоил 134 000 долларов.
Стандарты TEMPEST продолжали развиваться в 1970-х годах и позже, с новыми методами тестирования и более детальными рекомендациями, которые учитывали риски в конкретных местах и ситуациях. [11] : Том I, Гл. 10 В 80-х годах потребности безопасности часто встречали сопротивление. По словам Дэвида Г. Боака из АНБ, «кое-что из того, что мы все еще слышим сегодня в наших собственных кругах, когда строгие технические стандарты урезаются в интересах денег и времени, пугающе напоминает высокомерный Третий Рейх с его криптомашиной Enigma». : Там же, стр. 19
Многие особенности стандартов TEMPEST засекречены , но некоторые элементы являются общедоступными. Текущие стандарты Tempest США и НАТО определяют три уровня требований к защите: [12]
Дополнительные стандарты включают в себя:
АНБ и Министерство обороны рассекретили некоторые элементы TEMPEST после запросов Закона о свободе информации , но в документах засекречены многие ключевые значения и описания. Рассекреченная версия стандарта испытаний TEMPEST сильно отредактирована , пределы излучения и процедуры испытаний засекречены. [ необходима цитата ] [13] Отредактированная версия вводного руководства Tempest NACSIM 5000 была публично выпущена в декабре 2000 года. Кроме того, текущий стандарт НАТО SDIP-27 (до 2006 года известный как AMSG 720B, AMSG 788A и AMSG 784) по-прежнему засекречен.
Несмотря на это, некоторые рассекреченные документы содержат информацию об экранировании, требуемом стандартами TEMPEST. Например, Military Handbook 1195 включает диаграмму справа, показывающую требования к электромагнитному экранированию на разных частотах. Рассекреченная спецификация NSA для экранированных корпусов предлагает схожие значения экранирования, требуя «минимум 100 дБ вносимых потерь от 1 кГц до 10 ГГц». [14] Поскольку большая часть текущих требований все еще засекречена, нет общедоступных корреляций между этим требованием к экранированию в 100 дБ и новыми стандартами экранирования на основе зон.
Кроме того, многие требования к разделительному расстоянию и другие элементы содержатся в рассекреченном руководстве по установке красно-черных устройств АНБ NSTISSAM TEMPEST/2-95. [15]
Агентства по информационной безопасности ряда стран НАТО публикуют списки аккредитованных испытательных лабораторий и оборудования, прошедшего эти испытания:
Армия США также имеет испытательный полигон TEMPEST, как часть Электронного испытательного полигона армии США, в Форт-Хуачуке , Аризона . Аналогичные списки и объекты существуют в других странах НАТО.
Сертификация TEMPEST должна применяться ко всем системам, а не только к отдельным компонентам , поскольку подключение одного незащищенного компонента (например, кабеля или устройства) к защищенной системе может существенно изменить радиочастотные характеристики системы.
Стандарты TEMPEST требуют « разделения RED/BLACK », т. е. поддержания расстояния или установки экранирования между цепями и оборудованием, используемыми для обработки открытого текста, секретной или конфиденциальной информации, которая не зашифрована (RED), и защищенными цепями и оборудованием (BLACK), последнее включает те, которые передают зашифрованные сигналы. Производство оборудования, одобренного TEMPEST, должно осуществляться под тщательным контролем качества, чтобы гарантировать, что дополнительные блоки построены точно так же, как и блоки, которые были протестированы. Изменение даже одного провода может сделать тесты недействительными. [ необходима цитата ]
Одним из аспектов тестирования TEMPEST, отличающим его от ограничений на побочные излучения ( например , FCC Часть 15 ), является требование абсолютной минимальной корреляции между излучаемой энергией или обнаруживаемыми излучениями и любыми обрабатываемыми открытыми текстовыми данными.
В 1985 году Вим ван Эк опубликовал первый несекретный технический анализ рисков безопасности излучений от компьютерных мониторов . Эта работа вызвала некоторое замешательство в сообществе безопасности, которое ранее считало, что такой мониторинг является весьма изощренной атакой, доступной только правительствам ; Ван Эк успешно подслушал реальную систему на расстоянии сотен метров , используя оборудование стоимостью всего 15 долларов и телевизор .
В результате этого исследования такие излучения иногда называют «излучением Ван Эка», а технику подслушивания — фрикингом Ван Эка , хотя правительственные исследователи уже знали об опасности, поскольку Bell Labs отметили эту уязвимость для защиты телетайпной связи во время Второй мировой войны и смогли воспроизвести 75% открытого текста, обрабатываемого в защищенном помещении с расстояния 80 футов (24 метра) [20] Кроме того, АНБ опубликовало Основы Tempest, NSA-82-89, NACSIM 5000, Агентство национальной безопасности (секретно) 1 февраля 1982 года. Кроме того, техника Ван Эка была успешно продемонстрирована не сотрудникам TEMPEST в Корее во время Корейской войны в 1950-х годах. [21]
Маркус Кун открыл несколько недорогих методов снижения вероятности того, что излучения от компьютерных дисплеев могут контролироваться удаленно. [22] С ЭЛТ- дисплеями и аналоговыми видеокабелями фильтрация высокочастотных компонентов из шрифтов перед их отображением на экране компьютера ослабит энергию, с которой транслируются текстовые символы. [23] [24] С современными плоскими дисплеями кабели высокоскоростного цифрового последовательного интерфейса ( DVI ) от графического контроллера являются основным источником компрометирующих излучений. Добавление случайного шума к наименее значимым битам значений пикселей может сделать излучения от плоскопанельных дисплеев непонятными для подслушивающих лиц, но это небезопасный метод. Поскольку DVI использует определенную схему битового кода , которая пытается передавать сбалансированный сигнал из 0 бит и 1 бит, может не быть большой разницы между двумя цветами пикселей, которые сильно различаются по цвету или интенсивности. Излучения могут кардинально отличаться, даже если изменяется только последний бит цвета пикселя. Сигнал, принимаемый подслушивателем, также зависит от частоты, на которой обнаружены эманации. Сигнал может быть принят на многих частотах одновременно, и сигнал каждой частоты отличается контрастностью и яркостью относительно определенного цвета на экране. Обычно метод подавления КРАСНОГО сигнала шумом неэффективен, если только мощность шума не достаточна для того, чтобы перегрузить приемник подслушивателя, тем самым подавляя вход приемника.
Светодиодные индикаторы на компьютерном оборудовании могут быть источником компрометирующих оптических излучений. [25] Один из таких методов включает в себя мониторинг индикаторов на модеме коммутируемого доступа . Почти все модемы мигают светодиодом, чтобы показать активность, и обычно вспышки берутся непосредственно из линии передачи данных. Таким образом, быстрая оптическая система может легко увидеть изменения в мерцании от данных, передаваемых по проводу.
Недавние исследования [26] показали, что возможно обнаружить излучение, соответствующее нажатию клавиши, не только с беспроводных (радио) клавиатур, но и с традиционных проводных клавиатур [например, клавиатура PS/2 содержит микропроцессор, который будет излучать некоторое количество радиочастотной энергии при ответе на нажатие клавиш], и даже с клавиатур ноутбуков. Начиная с 1970-х годов советское прослушивание пишущих машинок IBM Selectric посольства США позволяло обнаруживать механическое движение ручек, вызванное нажатием клавиши, с прикрепленными магнитами, с помощью имплантированных магнитометров и преобразовывать с помощью скрытой электроники в цифровой радиочастотный сигнал. Каждая передача из восьми символов обеспечивала советский доступ к конфиденциальным документам, по мере их набора на американских объектах в Москве и Ленинграде. [27]
В 2014 году исследователи представили «AirHopper» — разветвленную схему атаки, показывающую возможность утечки данных с изолированного компьютера на близлежащий мобильный телефон с использованием сигналов FM-частоты. [28]
В 2015 году был представлен «BitWhisper», скрытый канал сигнализации между изолированными компьютерами с использованием тепловых манипуляций. «BitWhisper» поддерживает двунаправленную связь и не требует дополнительного выделенного периферийного оборудования. [29] Позже в 2015 году исследователи представили GSMem, метод извлечения данных из изолированных компьютеров по сотовым частотам. Передача, генерируемая стандартной внутренней шиной, превращает компьютер в небольшую антенну сотового передатчика. [30] В феврале 2018 года было опубликовано исследование, описывающее, как низкочастотные магнитные поля могут быть использованы для утечки конфиденциальных данных из изолированных компьютеров с клетками Фарадея с помощью вредоносного ПО под кодовым названием «ODINI», которое может управлять низкочастотными магнитными полями, излучаемыми зараженными компьютерами, путем регулирования нагрузки ядер ЦП. [31]
В 2018 году исследователи Eurecom представили класс атак по сторонним каналам на конференциях ACM и Black Hat : «Кричащие каналы». [32] Этот тип атак нацелен на чипы со смешанными сигналами , содержащие аналоговую и цифровую схему на одном кремниевом кристалле , с радиопередатчиком . Результатом этой архитектуры, часто встречающейся в связанных объектах , является то, что цифровая часть чипа будет передавать некоторые метаданные о своих вычислениях в аналоговую часть, что приводит к утечке метаданных, кодируемых в шуме радиопередачи . Благодаря методам обработки сигналов исследователи смогли извлечь криптографические ключи, используемые во время связи, и расшифровать содержимое. Авторы предполагают, что этот класс атак уже много лет известен правительственным разведывательным службам .
{{cite journal}}: CS1 maint: несколько имен: список авторов ( ссылка )Все имплантаты были довольно сложными. Каждый имплантат имел магнитометр, который преобразовывал механическую энергию нажатия клавиш в локальные магнитные возмущения. Электронный пакет в имплантате реагировал на эти возмущения, классифицировал базовые данные и передавал результаты на ближайший пост прослушивания. Данные передавались по радиочастоте. Имплантат включался с помощью дистанционного управления. [...] движение скоб определяло, какой символ был набран, поскольку каждый символ имел уникальное двоичное движение, соответствующее скобам. Магнитная энергия, улавливаемая датчиками в панели, преобразовывалась в цифровой электрический сигнал. Сигналы сжимались в четырехбитное слово выбора частоты. Жучок мог хранить до восьми четырехбитных символов. Когда буфер заполнялся, передатчик в панели отправлял информацию советским датчикам.