Urządzenia klasy TEMPEST – ochrona przed emisją ujawniającą

Każde urządzenie przez które płynie prąd, jest źródłem promieniowania elektromagnetycznego. Przepływ danych w odbywający się między poszczególnymi elementami komputerów (kablami, portami, gniazdami, monitorem)  generuje promieniowanie elektromagnetyczne o określonej częstotliwości.  Każde z tych elementów poprzez promieniowanie elektromagnetyczne ujawnia pewne informacje, które przy użytej odpowiedniej technologi można odczytać.

Emisja, której odbiór, rejestracja a następnie analiza da możliwość odtworzenia fragmentu przetwarzanej informacji niejawnej jest emisją ujawniającą.

Pole elektromagnetyczne powstałe podczas przetwarzania informacji niejawnych jest tak silne, że posiadając odpowiednie urządzenia można w prosty sposób przechwycić emisję ujawniającą i po jej analizie odczytać przetwarzaną informację. Informacje z komputera można odczytać poprzez wykorzystanie specjalnie przystosowanych anten oraz wykorzystując np. sieć wodną, elektryczną, grzewczą, oraz przewody klimatyzacyjne.

Poniżej filmiki prezentujące przechwycenie sygnału elektromagnetycznego z klawiatury.

COMPROMISING ELECTROMAGNETIC EMANATIONS OF WIRED KEYBOARDS 1

COMPROMISING ELECTROMAGNETIC EMANATIONS OF WIRED KEYBOARDS 2

JAK SIĘ CHRONIĆ?

• Tłumienność środowiska
  • odległość miejsca przetwarzania informacji od miejsca potencjalnego podsłuchu lub źródła zakłóceń
  • tłumienie architektoniczne
    • konstrukcja ścian
    • infrastruktura wewnętrzna
    • parametry stosowanych urządzeń
• Intencjonalne środki ochrony
  • obudowy ekranujące
  • tłumiące materiały
  • urządzenia klasy TEMPEST

TEMPEST jest technologią pozwalającą na stworzenie tak zwanych bezpiecznych stanowisk zabezpieczonych przed podsłuchem elektronicznym. TEMPEST jest kodem rządu USA identyfikujący zbiór norm w zakresie ograniczania elektrycznego lub elektromagnetycznego promieniowania urządzeń elektronicznych. Celem stworzenia programu było wprowadzenie standardów, które mogłyby zmniejszyć szanse na „wyciek” danych z urządzeń wykorzystywanych do przetwarzania, przesyłania lub przechowywania poufnych informacji.

Kontrolę nad obrotem urządzeniami klasy TEMPEST sprawuje Departament Stanu USA i wymaga każdorazowego uzyskania licencji eksportowej na dostawę do NATO lub krajów członkowskich. Ponieważ Polska przystąpiła do NATO sprzęt klasy TEMPEST jest dostępny także dla użytkowników w naszym kraju. Aby wejść w jego posiadanie lub pośredniczyć w jego dostarczeniu należy jednak spełnić kilka podstawowych warunków:

• posiadać zezwolenie Ministra Gospodarki (wpis do rejestru) na obrót specjalny z zagranicą w zakresie grupy towarowej LU11 – zgodnie z Rozporządzeniem Ministra Gospodarki z dnia 3 sierpnia 1998 roku w sprawie ustalenia wykazów towarów i technologii objętych szczególną kontrolą obrotu z zagranicą;
• uzyskać licencję importową Ministerstwa Gospodarki na dostarczenie sprzętu określonemu użytkownikowi końcowemu;
• spełniać wymagania niezbędne dla uzyskania licencji eksportowej USA – wymaga to określenia użytkownika końcowego z gwarancją nadrzędnej instytucji rządowej RP (np. MSWiA dla sprzętu dla Policji, MON dla Polskich Sił Zbrojnych, itp.).

Podstawową normą dla wyrobów wykonanych w technologii TEMPEST, obowiązującą w USA, jest norma NSTISSAM/1-92. Jej odpowiednikiem w krajach NATO jest norma AMSG (AMSG 720 B, AMSG 788, AMSG 784). Urządzenia klasy TEMPEST wykonywane są w trzech kategoriach bezpieczeństwa elektromagnetycznego:

• Kategoria I – TEMPEST – AMSG 720B = BTR 202/4, NACISIM 5100A, NSTISSAM 1-92-LEVEL I
• Kategoria II – zredukowny TEMPEST – AMSG 788
• Kategoria III – obniżona emisja – AMSG 784

Występuje też Kategoria IV, która oznacza sprzęt powszechnego użytku – znak CE.

Aby określić z której kategorii urządzeń powinniśmy skorzystać należy wziąć pod uwagę klauzulę przetwarzanych informacji oraz określić poziom zabezpieczenia miejsca (PZM). Poziom Zabezpieczenia Miejsca jest wskaźnikiem określającym minimalny poziom tłumienia przez otoczenie (np. ściany) danego systemu teleinformatycznego sygnałów, które są wytwarzane przez urządzenia przetwarzające informacje niejawne. PZM wyznacza się na podstawie specjalistycznych pomiarów realizowanych przez Laboratorium Bezpieczeństwa Teleinformatycznego SKW. Każde pomieszczenie może zostać sklasyfikowane jako PZM-0, PZM-1, PZM-2, PZM-3, co determinuje wymagania w zakresie technicznego poziomu zabezpieczenia urządzeń przetwarzających informacje niejawne w danym pomieszczeniu.

W Polsce urządzenia klasy TEMPEST dostarcza między innymi firma SILTEC

[1] The Complete, Unofficial TEMPEST Information Page – Wszystko na temat projektu TEMPEST [en]

Karol Kij

Zajmuje się szeroko pojętym tematem zarządzania bezpieczeństwa informacji.

Jako młoda, aktywna i przedsiębiorcza osoba wciąż poszukuję nowych źródeł wiedzy i możliwości rozwoju.

Poszukuję kontaktów biznesowych, nawiążę również kontakt z osobami zainteresowanymi podobną problematyką w celu współpracy, wymiany spostrzeżeń i doświadczeń.

www.karolkij.pl

Zobacz również:

• Obowiązek wyznaczenia Sprzętowej Strefy Ochrony Elektromagnetycznej (SSOE)