Tempesta (nome in codice) - Tempest (codename)

TEMPEST è una specifica della National Security Agency degli Stati Uniti e una certificazione NATO che si riferisce allo spionaggio di sistemi informativi attraverso emanazioni che perdono, inclusi segnali radio o elettrici, suoni e vibrazioni non intenzionali. TEMPEST copre entrambi i metodi per spiare gli altri e come proteggere l'attrezzatura da tale spionaggio. Gli sforzi di protezione sono noti anche come sicurezza delle emissioni (EMSEC), che è un sottoinsieme della sicurezza delle comunicazioni (COMSEC).

I metodi dell'NSA per spiare le emissioni dei computer sono classificati, ma alcuni degli standard di protezione sono stati rilasciati dall'NSA o dal Dipartimento della Difesa. La protezione dell'attrezzatura dallo spionaggio viene eseguita con distanza, schermatura, filtraggio e mascheramento. Gli standard TEMPEST impongono elementi come la distanza delle apparecchiature dalle pareti, la quantità di schermatura negli edifici e nelle apparecchiature e la distanza che separa i fili che trasportano materiali classificati rispetto a materiali non classificati, filtri sui cavi e persino distanza e schermatura tra fili o apparecchiature e tubi dell'edificio. Il rumore può anche proteggere le informazioni mascherando i dati effettivi.

Il mixer Bell 131B2, utilizzato per i segnali di telescrivente XOR con nastri una tantum, è stato il primo dispositivo da cui è stato estratto testo semplice classificato utilizzando segnali irradiati.

Sebbene gran parte di TEMPEST riguardi la fuoriuscita di emanazioni elettromagnetiche , comprende anche suoni e vibrazioni meccaniche. Ad esempio, è possibile registrare le battute di un utente utilizzando il sensore di movimento all'interno degli smartphone . Le emissioni compromettenti sono definite come segnali non intenzionali contenenti informazioni che, se intercettati e analizzati ( attacco del canale laterale ), possono rivelare le informazioni trasmesse, ricevute, gestite o altrimenti elaborate da qualsiasi apparecchiatura di elaborazione delle informazioni.

Storia

Durante la seconda guerra mondiale, Bell Telephone ha fornito alle forze armate statunitensi il dispositivo mixer 131-B2 che crittografava i segnali della telescrivente mediante XOR 'ing con materiale chiave da nastri monouso (il sistema SIGTOT ) o, in precedenza, un generatore di chiavi basato su rotore chiamato SIGCUM . Ha utilizzato relè elettromeccanici nel suo funzionamento. Successivamente Bell informò il Signal Corps che erano in grado di rilevare picchi elettromagnetici a distanza dal mixer e recuperare il testo in chiaro. Incontrando lo scetticismo sul fatto che il fenomeno scoperto in laboratorio potesse essere davvero pericoloso, hanno dimostrato la loro capacità di recuperare testo in chiaro dal centro crittografico di un Signal Corps in Varick Street a Lower Manhattan. Ora allarmato, il Signal Corps ha chiesto a Bell di indagare ulteriormente. Bell ha identificato tre aree problematiche: segnali irradiati, segnali condotti su fili che si estendono dalla struttura e campi magnetici. Come possibili soluzioni, hanno suggerito schermatura, filtraggio e mascheratura.

Le macchine a rotore , come questa SIGCUM , sono state una delle prime fonti di compromettenti effetti TEMPEST

Bell ha sviluppato un mixer modificato, il 131-A1 con schermatura e filtraggio, ma si è rivelato difficile da mantenere e troppo costoso da implementare. Invece, i comandanti competenti sono stati avvertiti del problema e hanno consigliato di controllare una zona di 100 piedi (30,48 metri) di diametro attorno al loro centro di comunicazione per prevenire intercettazioni segrete, e le cose sono state lasciate lì. Poi, nel 1951, la CIA riscoprì il problema con il mixer 131-B2 e scoprì di poter recuperare il testo in chiaro dalla linea che trasportava il segnale crittografato da un quarto di miglio di distanza. Sono stati sviluppati filtri per le linee di segnale e di alimentazione e il raggio del perimetro di controllo raccomandato è stato esteso a 200 piedi, in base più a ciò che ci si poteva aspettare che i comandanti realizzassero rispetto a qualsiasi criterio tecnico.

Seguì un lungo processo di valutazione dei sistemi e sviluppo di possibili soluzioni. Sono stati scoperti altri effetti compromettenti, come le fluttuazioni nella linea elettrica quando i rotori si muovevano. La questione dello sfruttamento del rumore dei sistemi di crittografia elettromeccanici era stata sollevata alla fine degli anni '40, ma ora è stata rivalutata come possibile minaccia. Le emanazioni acustiche potrebbero rivelare il testo in chiaro, ma solo se il dispositivo di raccolta era vicino alla fonte. Tuttavia, anche microfoni mediocri andrebbero bene. L'insonorizzazione della stanza ha peggiorato il problema rimuovendo i riflessi e fornendo un segnale più pulito al registratore.

La logica del relè , come in questo Flexowriter, è stata un'altra importante fonte iniziale di radiazioni TEMPEST.

Nel 1956, il Laboratorio di ricerca navale sviluppò un miscelatore migliore che funzionava a tensioni e correnti molto più basse e quindi irradiava molto meno. È stato incorporato nei nuovi sistemi di crittografia NSA. Tuttavia, molti utenti avevano bisogno di livelli di segnale più elevati per guidare le telescriventi a distanze maggiori o dove erano collegate più telescriventi, quindi i nuovi dispositivi di crittografia includevano l'opzione per riportare il segnale alla potenza più elevata. L'NSA ha iniziato a sviluppare tecniche e specifiche per isolare i percorsi di comunicazioni sensibili attraverso il filtraggio, la schermatura, la messa a terra e la separazione fisica: di quelle linee che trasportavano testo semplice sensibile - da quelle destinate a trasportare solo dati non sensibili, quest'ultimo si estendeva spesso al di fuori del ambiente sicuro. Questo sforzo di separazione divenne noto come il Concetto Rosso/Nero . Una politica congiunta del 1958 chiamata NAG-1 stabiliva standard di radiazione per apparecchiature e installazioni basati su un limite di controllo di 50 piedi (15,24 metri). Ha inoltre specificato i livelli di classificazione dei vari aspetti del problema TEMPEST. La politica è stata adottata dal Canada e dal Regno Unito l'anno successivo. Sei organizzazioni, Marina, Esercito, Aeronautica, NSA, CIA e Dipartimento di Stato dovevano fornire la maggior parte degli sforzi per la sua attuazione.

Le difficoltà sono emerse rapidamente. L'informatizzazione stava diventando importante per l'elaborazione dei dati di intelligence e i computer e le loro periferiche dovevano essere valutati, in cui molti di loro evidenziavano vulnerabilità. La Friden Flexowriter , una popolare macchina da scrivere I/O all'epoca, si è rivelata tra gli emettitori più potenti, leggibile a distanze fino a 3.200 piedi (975,36 metri) nei test sul campo. L'US Communications Security Board (USCSB) ha prodotto una politica Flexowriter che ne vietava l'uso all'estero per informazioni classificate e ne limitava l'uso all'interno degli Stati Uniti al livello confidenziale , e quindi solo all'interno di una zona di sicurezza di 400 piedi (121,92 metri), ma gli utenti trovato la politica onerosa e poco pratica. Successivamente, la NSA ha riscontrato problemi simili con l'introduzione di display a tubo catodico ( CRT ), che erano anche potenti radiatori.

C'è stato un processo pluriennale per passare dalle raccomandazioni politiche a regole TEMPEST più rigorosamente applicate. La risultante Direttiva 5200.19, coordinata con 22 agenzie separate, fu firmata dal Segretario alla Difesa Robert McNamara nel dicembre 1964, ma ci vollero ancora mesi per essere pienamente attuata. L'attuazione formale della NSA è entrata in vigore nel giugno 1966.

Nel frattempo, il problema delle emanazioni acustiche è diventato più critico con la scoperta di circa 900 microfoni in installazioni statunitensi all'estero, la maggior parte dietro la cortina di ferro . La risposta è stata quella di costruire recinti stanza nella stanza, alcune trasparenti, soprannominate "bocce per pesci". Altre unità erano completamente schermate per contenere le emanazioni elettroniche, ma erano impopolari tra il personale che avrebbe dovuto lavorare all'interno; chiamavano i recinti "armadietti della carne" e talvolta lasciavano le porte aperte. Tuttavia, sono stati installati in luoghi critici, come l'ambasciata a Mosca, dove ne sono stati installati due: uno per l'uso del Dipartimento di Stato e uno per gli addetti militari. Un'unità installata presso la NSA per le sue apparecchiature di generazione delle chiavi costa $ 134.000.

Gli standard Tempest hanno continuato a evolversi negli anni '70 e successivi, con nuovi metodi di prova e linee guida più sfumate che tengono conto dei rischi in luoghi e situazioni specifici. Ma allora come oggi, le esigenze di sicurezza incontravano spesso resistenza. Secondo David G. Boak dell'NSA, "Alcuni di ciò che sentiamo ancora oggi nei nostri circoli, quando i rigorosi standard tecnici vengono ridotti nell'interesse del denaro e del tempo, ricordano spaventosamente l'arrogante Terzo Reich con la loro criptomacchina Enigma".

Standard di schermatura

Molte specifiche degli standard TEMPEST sono classificate , ma alcuni elementi sono pubblici. Gli attuali standard degli Stati Uniti e della NATO Tempest definiscono tre livelli di requisiti di protezione:

  • NATO SDIP-27 Livello A (ex AMSG 720B) e USA NSTISSAM Livello I
"Standard di prova di laboratorio sulle emanazioni compromettenti"
Questo è lo standard più rigoroso per i dispositivi che verranno utilizzati in ambienti della Zona 0 della NATO , dove si presume che un aggressore abbia un accesso quasi immediato (es. stanza vicina, 1 metro; 3' di distanza).
  • NATO SDIP-27 Livello B (ex AMSG 788A) e USA NSTISSAM Livello II
"Standard di prova di laboratorio per apparecchiature per impianti protetti"
Questo è uno standard leggermente rilassato per i dispositivi che vengono utilizzati in ambienti NATO Zona 1 , dove si presume che un attaccante non possa avvicinarsi a una distanza di circa 20 metri (65') (o dove i materiali da costruzione assicurano un'attenuazione equivalente all'attenuazione dello spazio libero di questa distanza).
  • NATO SDIP-27 Livello C (ex AMSG 784) e USA NSTISSAM Livello III
"Standard di prova di laboratorio per apparecchiature/sistemi mobili tattici"
Uno standard ancora più rilassato per i dispositivi operati negli ambienti della Zona 2 della NATO , in cui gli aggressori devono affrontare l'equivalente di 100 metri (300') di attenuazione dello spazio libero (o attenuazione equivalente attraverso materiali da costruzione).

Gli standard aggiuntivi includono:

  • NATO SDIP-29 (ex AMSG 719G)
"Installazione di apparecchiature elettriche per il trattamento di informazioni classificate"
Questo standard definisce i requisiti di installazione, ad esempio per quanto riguarda la messa a terra e le distanze dei cavi.
  • AMSG 799B
"Procedure di zonizzazione della NATO"
Definisce una procedura di misurazione dell'attenuazione, in base alla quale le singole stanze all'interno di un perimetro di sicurezza possono essere classificate in Zona 0, Zona 1, Zona 2 o Zona 3, che determina quindi quale standard di test di schermatura è richiesto per le apparecchiature che elaborano dati segreti in queste stanze .

La NSA e il Dipartimento della Difesa hanno declassificato alcuni elementi TEMPEST dopo le richieste del Freedom of Information Act , ma i documenti oscurano molti valori e descrizioni chiave. La versione declassificata dello standard di prova TEMPEST è pesantemente redatta , con limiti di emanazione e procedure di prova oscurate. Una versione redatta del manuale introduttivo di Tempest NACSIM 5000 è stata rilasciata pubblicamente nel dicembre 2000. Inoltre, l'attuale standard NATO SDIP-27 (prima del 2006 noto come AMSG 720B, AMSG 788A e AMSG 784) è ancora classificato.

Requisiti di schermatura TEMPEST

Nonostante ciò, alcuni documenti declassificati danno informazioni sulla schermatura richiesta dalle norme TEMPEST. Ad esempio, il Manuale militare 1195 include il grafico a destra, che mostra i requisiti di schermatura elettromagnetica a frequenze diverse. Una specifica NSA declassificata per involucri schermati offre valori di schermatura simili, che richiedono "una perdita di inserzione minima di 100 dB da 1 KHz a 10 GHz". Poiché gran parte degli attuali requisiti sono ancora classificati, non ci sono correlazioni pubblicamente disponibili tra questo requisito di schermatura di 100 dB e i più recenti standard di schermatura basati sulla zona.

Inoltre, molti requisiti di distanza di separazione e altri elementi sono forniti dalla guida all'installazione rosso-nera declassificata della NSA , NSTISSAM TEMPEST/2-95.

Certificazione

Le agenzie per la sicurezza delle informazioni di diversi paesi della NATO pubblicano elenchi di laboratori di prova accreditati e di apparecchiature che hanno superato questi test:

  • In Canada: Programma industriale canadese TEMPEST
  • In Germania: Elenco dei prodotti in zone tedesche BSI
  • Nel Regno Unito: Directory UK CESG dei prodotti assicurati Infosec, sezione 12
  • Negli Stati Uniti: Programma di certificazione NSA TEMPEST

L' esercito degli Stati Uniti ha anche una struttura di test Tempest, come parte del comando di ingegneria dei sistemi informativi dell'esercito americano, a Fort Huachuca , in Arizona . Elenchi e strutture simili esistono in altri paesi della NATO.

La certificazione Tempest deve applicarsi a interi sistemi, non solo ai singoli componenti , poiché il collegamento di un singolo componente non schermato (come un cavo o un dispositivo) a un sistema altrimenti sicuro potrebbe alterare drasticamente le caratteristiche RF del sistema.

Separazione ROSSO/NERO

Gli standard TEMPEST richiedono la " separazione ROSSO/NERO ", ovvero il mantenimento della distanza o l'installazione di schermature tra i circuiti e le apparecchiature utilizzate per gestire informazioni classificate o sensibili in testo normale non crittografate (ROSSO) e circuiti e apparecchiature protetti (NERO), questi ultimi compresi quelli che trasportano segnali criptati. La produzione di apparecchiature approvate da TEMPEST deve essere eseguita sotto un attento controllo di qualità per garantire che le unità aggiuntive siano costruite esattamente come le unità testate. Cambiare anche un solo filo può invalidare i test.

Emanazioni correlate

Un aspetto del test Tempest che lo distingue dai limiti sulle emissioni spurie ( ad esempio , FCC Parte 15 ) è un requisito di correlazione minima assoluta tra l'energia irradiata o le emissioni rilevabili e qualsiasi dato in chiaro che viene elaborato.

Ricerca pubblica

Nel 1985, Wim van Eck ha pubblicato la prima analisi tecnica non classificata dei rischi per la sicurezza delle emanazioni dai monitor dei computer . Questo documento ha causato una certa costernazione nella comunità della sicurezza, che in precedenza aveva creduto che tale monitoraggio fosse un attacco altamente sofisticato disponibile solo per i governi ; van Eck ha intercettato con successo un sistema reale, a una distanza di centinaia di metri , utilizzando solo $ 15 di apparecchiature più un televisore .

Come conseguenza di questa ricerca, tali emanazioni sono talvolta chiamate "radiazioni van Eck" e la tecnica di intercettazione van Eck phreaking , sebbene i ricercatori del governo fossero già consapevoli del pericolo, poiché i Bell Labs hanno notato questa vulnerabilità per proteggere le comunicazioni delle telescriventi durante la seconda guerra mondiale ed è stato in grado di produrre il 75% del testo in chiaro elaborato in una struttura sicura da una distanza di 80 piedi. (24 metri) Inoltre la NSA ha pubblicato Tempest Fundamentals, NSA-82-89, NACSIM 5000, National Security Agency (Classified) il 1 febbraio 1982. Inoltre, la tecnica van Eck è stata dimostrata con successo al personale non TEMPEST in Corea durante la guerra di Corea negli anni Cinquanta.

Markus Kuhn ha scoperto diverse tecniche a basso costo per ridurre le possibilità che le emanazioni dai display dei computer possano essere monitorate da remoto. Con i display CRT e i cavi video analogici , il filtraggio dei componenti ad alta frequenza dai caratteri prima di visualizzarli sullo schermo di un computer attenuerà l'energia con cui vengono trasmessi i caratteri di testo. Con i moderni display a schermo piatto , i cavi dell'interfaccia seriale digitale ( DVI ) ad alta velocità dal controller grafico sono una fonte principale di emanazioni compromettenti. L'aggiunta di rumore casuale ai bit meno significativi dei valori dei pixel può rendere le emanazioni dei display a schermo piatto incomprensibili agli intercettatori, ma non è un metodo sicuro. Poiché DVI utilizza un certo schema di codice bit che cerca di trasportare un segnale bilanciato di 0 bit e 1 bit, potrebbe non esserci molta differenza tra due colori di pixel che differiscono molto per colore o intensità. Le emanazioni possono differire drasticamente anche se viene cambiato solo l'ultimo bit del colore di un pixel. Il segnale ricevuto dall'intercettatore dipende anche dalla frequenza con cui vengono rilevate le emanazioni. Il segnale può essere ricevuto su molte frequenze contemporaneamente e il segnale di ciascuna frequenza differisce in contrasto e luminosità in relazione a un determinato colore sullo schermo. Di solito, la tecnica di soffocare il segnale ROSSO con il rumore non è efficace a meno che la potenza del rumore non sia sufficiente per portare il ricevitore dell'intercettatore in saturazione , sovraccaricando così l'ingresso del ricevitore.

Gli indicatori LED sulle apparecchiature informatiche possono essere una fonte di emanazioni ottiche compromettenti. Una di queste tecniche prevede il monitoraggio delle luci su un modem dial-up . Quasi tutti i modem lampeggiano con un LED per mostrare l'attività ed è comune che i flash vengano presi direttamente dalla linea dati. In quanto tale, un sistema ottico veloce può facilmente vedere i cambiamenti nello sfarfallio dei dati trasmessi lungo il cavo.

Ricerche recenti hanno dimostrato che è possibile rilevare la radiazione corrispondente a un evento di pressione dei tasti non solo dalle tastiere wireless (radio), ma anche dalle tradizionali tastiere cablate e persino dalle tastiere dei laptop. Dagli anni '70 in poi, l'intrusione sovietica delle macchine da scrivere IBM Selectric dell'ambasciata degli Stati Uniti ha permesso che il movimento meccanico derivato dalla pressione dei tasti, con magneti attaccati, fosse rilevato da magnetometri impiantati e convertito tramite elettronica nascosta in un segnale a radiofrequenza digitale. Ogni trasmissione di otto caratteri forniva ai sovietici l'accesso a documenti sensibili, mentre venivano digitati, nelle strutture statunitensi di Mosca e Leningrado.

Nel 2014, i ricercatori hanno introdotto "AirHopper", un modello di attacco biforcuto che mostra la fattibilità dell'esfiltrazione di dati da un computer isolato a un telefono cellulare vicino, utilizzando segnali di frequenza FM.

Nel 2015, è stato introdotto "BitWhisper", un canale di segnalazione nascosto tra computer con intercapedine che utilizzano le manipolazioni termiche. "BitWhisper" supporta la comunicazione bidirezionale e non richiede hardware periferico dedicato aggiuntivo. Più tardi, nel 2015, i ricercatori hanno introdotto GSMem, un metodo per estrarre i dati dai computer air gap sulle frequenze cellulari. La trasmissione, generata da un bus interno standard, trasforma il computer in una piccola antenna trasmittente cellulare. Nel febbraio 2018 è stata pubblicata una ricerca che descrive come i campi magnetici a bassa frequenza possono essere utilizzati per sfuggire ai dati sensibili da computer in gabbia di Faraday e air gap con malware nome in codice "ODINI" che può controllare i campi magnetici a bassa frequenza emessi dai computer infetti da regolazione del carico dei core della CPU.

Nel 2018, una classe di attacchi side-channel è stata introdotta presso ACM e Black Hat dai ricercatori di Eurecom : "Screaming Channels". Questo tipo di attacco prende di mira chip a segnale misto, contenenti un circuito analogico e digitale sullo stesso die di silicio , con un trasmettitore radio . I risultati di questa architettura, spesso riscontrata negli oggetti connessi , è che la parte digitale del chip perderà alcuni metadati sui suoi calcoli nella parte analogica, il che porta alla codifica della perdita di metadati nel rumore della trasmissione radio. Grazie alle tecniche di elaborazione del segnale , i ricercatori sono stati in grado di estrarre le chiavi crittografiche utilizzate durante la comunicazione e decrittografare il contenuto. Questa classe di attacco dovrebbe, dagli autori, essere già conosciuta da molti anni dalle agenzie di intelligence governative .

Nella cultura popolare

  • Nella serie televisiva Numb3rs , episodio della prima stagione "Sacrifice", un cavo collegato a un'antenna ad alto guadagno è stato utilizzato per "leggere" dal monitor di un computer.
  • Nella serie televisiva Spooks , episodio della quarta stagione "The Sting", viene descritto un tentativo fallito di leggere le informazioni da un computer che non ha un collegamento di rete.
  • Nel romanzo Cryptonomicon di Neal Stephenson , i personaggi usano il phreaking di Van Eck per leggere le informazioni dal monitor di un computer in una stanza vicina.
  • Nella serie televisiva Agents of SHIELD , episodio della stagione 1 "Ragtag", un ufficio viene scansionato per le firme digitali nello spettro UHF.
  • Nel videogioco Tom Clancy's Splinter Cell: Chaos Theory , parte della missione finale consiste nello spiare un incontro in una stanza di guerra temprata da Tempesta. In tutta la serie Splinter Cell viene utilizzato anche un microfono laser .
  • Nel videogioco Rainbow Six: Siege , l'operatore Mute ha esperienza nelle specifiche TEMPEST. Inizialmente ha progettato un disturbatore di segnale per garantire che i microfoni nascosti nelle riunioni sensibili non trasmettessero e li ha adattati per il combattimento, in grado di interrompere i dispositivi attivati ​​a distanza come le accuse di violazione.
  • Nella serie di romanzi The Laundry Files di Charles Stross , il personaggio di James Angleton (ufficiale di alto rango di un'agenzia di intelligence ultra-segreta) utilizza sempre dispositivi a bassa tecnologia come una macchina da scrivere o un Memex per difendersi da TEMPEST (nonostante l'edificio sia tempestoso- schermato).

Guarda anche

Riferimenti

Fonti

link esterno