Физическое разграничение сетей по ПЭМИН

При построении сетей с физической изоляцией также необходимо учитывать вопросы защиты от утечки информации по каналам ПЭМИН. Во многих случаях сотруднику, работающему с информацией ограниченного доступа необходима и возможность выхода в интернет. Решается этот вопрос, как правило “в лоб”. На рабочем месте устанавливается два компьютера, один из которых подключен к локальной сети предприятия (организации), а второй к сети интернет. В этом случае кабели собственной сети с защитой информации и кабели открытой сети интернет очень трудно разнести на достаточное

расстояние. Вследствие этого информация, циркулирующая в локальной сети, а также все побочные излучения компьютеров, наведенные на кабели локальной сети, могут наводиться и на кабели открытой сети интернет.

Мало того, что кабель открытой сети это достаточно длинная антенна (особенно когда открытая сеть проложена неэкранированным кабелем). Кабели открытой сети, как правило, выходят за границы охраняемой территории, поэтому снять информацию можно не только путем перехвата излучений, но и путем непосредственного подключения к кабелям открытой сети. Поэтому кабели открытой сети также должны быть проложены в соответствии со всеми рекомендациями, выполняемыми при построении сети с защитой информации.

Несмотря на описанные выше сложности, локальные сети с защитой информации от утечки по каналам побочных излучений и наводок можно строить. Главное, правильно понимать физические явления, приводящие к появлению побочных излучений в локальной сети. Большие трудности представляет аттестация такой сети. Для проведения таких работ зачастую отсутствует нормативная база. Поэтому для каждой локальной сети приходится разрабатывать частную методику проверки и согласовывать ее с соответствующими организациями. Тем не менее, и эти трудности разрешимы, хотя требуют дополнительного времени.

Сложно преодолеть непонимание опасности утечки информации по каналам побочных излучений локальной сети. Но самое трудное — это преодолеть соблазн формального выполнения рекомендаций по прокладке локальных сетей с защитой информации.

Можно, например, поставить серверы в хорошо экранированном помещении. Но подключение к серверам незащищенных рабочих станций даже по локальной сети, выпоненной экранированным кабелем может свести на нет все усилия по экранированию серверной комнаты. Подобных примеров, в том числе и из практики, можно привести много, но суть их одна: бездумное выполнение любых рекомендаций часто приводит к противоположному эффекту.

Угрозы информации связанные с ПЭМИН. Классическая Tempest-атака

 

Показательными были откровения бывшего сотрудника английской разведки МI‑5 Питера Райта (Peter Wright), опубликованными в его книге воспоминаний “Шпионский улов” (“Spycatcher”) в 1986 году. В конце 60‑х Англия вела переговоры о вступлении в ЕЭС и английскому правительству очень важна была информация о позиции Франции в этом вопросе. Сотрудники МИ‑5 вели постоянный перехват зашифрованных сообщений французской дипломатии, но все усилия МИ‑5 по вскрытию шифра не увенчались успехом. Тем не менее, Питер при анализе излучений заметил, что наряду с основным сигналом присутствует и другой очень слабый сигнал. Инженерам удалось настроить приемную аппаратуру на этот сигнал и демодулировать его. К их удивлению, это было открытое незашифрованное сообщение. Оказалось, что шифровальная машина французов, впрочем, как и любая другая электрическая машина, имела побочное электромагнитное из‑ лучение, которое модулировалось информационным сигналом еще до момента его кодирования.

Таким образом, путем перехвата и анализа побочных излучений французской шифровальной машины, английское правительство, даже не имея ключа для расшифровки кодированных сообщений, получало всю необходимую информацию. Задача, стоящая перед МИ‑5, была решена. Классический пример использования TEMPEST‑атаки!

Безусловно, это далеко не единственный пример результативного применения TEMPEST‑атаки, но шпионские организации не стремятся поделиться своими тайнами с широкой общественностью. Более того, TEMPEST‑атаки по отношению друг к другу стали применять и конкурирующие коммерческие фирмы, и криминальные структуры.

Развитие тактики применения TEMPEST‑атак позволило не только пассивно ждать, когда в перехваченных сигналах появится нужная информация, но и целенаправленно управлять излучением компьютера с помощью программных закладок. Эта технология называется Soft TEMPEST.

Процесс перехвата секретной информации путем приема паразитного излучения сигнала монитора вполне реален, но процесс этот достаточно длителен — нужно дождаться, пока пользователь выведет на экран монитора интересующую секретную информацию. Такой процесс может занимать дни и недели.

А нельзя ли компьютер заставить передавать нужную информацию и не ждать, пока пользователь сам обратится к секретным документам? Таким вопросом задались сотрудники компьютерной лаборатории Кембриджского университета Маркус Кун (Markus G.Kuhn) и Росс Андерсон (Ross J.Anderson).

Суть их идеи была достаточно проста. Нужный компьютер “заражается” специальной программой‑закладкой (“троянский конь”) любым из известных способов (по технологии вирусов: через компакт‑диск с презентацией, интересной программой или игрушкой, дискету с драйверами, а если ПК в локальной сети — то и через сеть). Программа ищет необходимую информацию на диске и путем обращения к различным устройствам компьютера вызывает появление побочных излучений.

Так родилась технология Soft Tempest — технология скрытой передачи данных по каналу побочных электромагнитных излучений с помощью программных средств. Предложенная учеными Кембриджа технология Soft Tempest по своей сути есть разновидность компьютерной стеганографии, т.е. метода скрытной передачи полезного сообщения в безобидных видео, аудио, графических и текстовых файлах.

По информации спецслужб США, методы компьютерной стеганографии интенсивно используются международным терроризмом для скрытой передачи данных через Интернет, в частности во время подготовки теракта 11 сентября.

Особенностью технологии Soft Tempest является использование для передачи данных канала ПЭМИН, что значительно затрудняет обнаружение самого факта несанкционированной передачи по сравнению с традиционной компьютерной стеганографией. Действительно, если для предотвращения несанкционированной передачи данных по локальной сети или сети Интернет существуют аппаратные и программные средства (FireWall,

Proxy server и т.п.), то средств для обнаружения скрытой передачи данных по ПЭМИН нет, а обнаружить такое излучение в общем широкополосном спектре (более 1000 МГц)

паразитных излучений ПК без знания параметров полезного сигнала весьма проблематично.

Основная опасность технологии Soft Tempest заключается в скрытности работы про‑ граммы‑вируса. Такая программа в отличие от большинства вирусов не портит данные, не нарушает работу ПК, не производит несанкционированную рассылку по сети, а значит, долгое время не обнаруживается пользователем и администратором сети. Поэтому, если вирусы, использующие Интернет для передачи данных, проявляют себя практически мгновенно, и на них быстро находится противоядие в виде антивирусных программ, то вирусы, использующие ПЭМИН для передачи данных, могут работать годами, не обнаруживая себя.

В настоящее время технология Soft Tempest включает в себя не только способы разведки, но и программные способы противодействия разведке, в частности использование специальных Tempest‑шрифтов, минимизирующих высокочастотные излучения.

Практически все открытые работы по проблеме Soft Tempest посвящены именно возможностям программного формирования изображения на экране монитора, в котором содержится другая информация, и возможностям программной защиты от этой напасти. Но программно можно управлять излучением практически любого элемента компьютера. Так, на выставке “Безпека 2004” фирма ЕПОС демонстрировала возможность программной передачи информации путем вывода ее в незадействованный последовательный порт. Прием возникающего при этом излучения осуществлялся с помощью приемника AR3000A.