Tempestad (nombre en clave)

TEMPEST es un nombre en clave bajo la especificación de la Agencia de Seguridad Nacional de EE. UU. y una certificación de la OTAN ^{[ 1 ] [ 2 ]} que se refiere al espionaje de sistemas de información a través de emanaciones filtradas, incluidas señales de radio o eléctricas no intencionadas, sonidos y vibraciones. ^{[ 3 ] [ 4 ]} TEMPEST abarca tanto los métodos para espiar a otros como cómo proteger los equipos contra dicho espionaje. Los esfuerzos de protección también se conocen como seguridad de emisiones (EMSEC), que es un subconjunto de la seguridad de las comunicaciones (COMSEC). ^{[ 5 ]} Los métodos de recepción se engloban dentro del ámbito de la inteligencia de masas de radiofrecuencia (MASINT ).

Los métodos de la NSA para espiar las emisiones informáticas son clasificados, pero algunos de los estándares de protección han sido publicados por la NSA o el Departamento de Defensa. ^{[ 6 ]} La protección de los equipos contra el espionaje se realiza mediante distancia, blindaje, filtrado y enmascaramiento. ^{[ 7 ]} Los estándares TEMPEST exigen elementos como la distancia de los equipos a las paredes, la cantidad de blindaje en edificios y equipos, y la distancia que separa los cables que transportan materiales clasificados de los no clasificados, ^{[ 6 ]} filtros en los cables, e incluso la distancia y el blindaje entre los cables o equipos y las tuberías del edificio. El ruido también puede proteger la información enmascarando los datos reales. ^{[ 7 ]}

Si bien gran parte de TEMPEST trata sobre emanaciones electromagnéticas que se filtran , también abarca sonidos y vibraciones mecánicas. ^{[ 6 ]} Por ejemplo, es posible registrar las pulsaciones de teclas de un usuario utilizando el sensor de movimiento dentro de los teléfonos inteligentes . ^{[ 8 ]} Las emisiones comprometedoras se definen como señales no intencionadas que contienen información confidencial y que, si se interceptan y analizan ( ataque de canal lateral ), pueden revelar la información transmitida, recibida, manejada o procesada de cualquier otra forma por cualquier equipo de procesamiento de información. ^{[ 9 ]}

Durante la Segunda Guerra Mundial, The Bell System suministró al ejército estadounidense el dispositivo mezclador 131-B2 , que cifraba las señales de teletipo mediante la operación XOR con material clave de cintas de un solo uso (el sistema SIGTOT ) o, anteriormente, con un generador de claves basado en rotor llamado SIGCUM . Su funcionamiento se basaba en relés electromecánicos. Posteriormente, Bell informó al Cuerpo de Señales que habían logrado detectar picos electromagnéticos a distancia del mezclador y recuperar el texto sin cifrar. Ante el escepticismo sobre si el fenómeno descubierto en el laboratorio podría ser realmente peligroso, demostraron su capacidad para recuperar texto sin cifrar de un centro criptográfico del Cuerpo de Señales en la calle Varick, en el Bajo Manhattan. Alarmado, el Cuerpo de Señales solicitó a Bell que investigara más a fondo. Bell identificó tres áreas problemáticas: señales radiadas, señales conducidas por cables que se extendían desde las instalaciones y campos magnéticos. Como posibles soluciones, sugirieron blindaje, filtrado y enmascaramiento.

Bell desarrolló un mezclador modificado, el 131-A1, con blindaje y filtrado, pero resultó difícil de mantener y demasiado caro de implementar. En su lugar, se advirtió a los comandantes pertinentes sobre el problema y se les aconsejó controlar una zona de 30 metros de diámetro alrededor de su centro de comunicaciones para evitar la interceptación encubierta, y ahí quedó el asunto. Luego, en 1951, la CIA redescubrió el problema con el mezclador 131-B2 y descubrió que podía recuperar texto sin cifrar de la línea que transportaba la señal encriptada desde un cuarto de milla de distancia. Se desarrollaron filtros para las líneas de señal y de alimentación, y el radio del perímetro de control recomendado se extendió a 61 metros , basándose más en lo que se esperaba que los comandantes lograran que en cualquier criterio técnico.  

A continuación, se llevó a cabo un largo proceso de evaluación de sistemas y desarrollo de posibles soluciones. Se descubrieron otros efectos perjudiciales, como las fluctuaciones en la línea eléctrica provocadas por el movimiento de los rotores. La cuestión de aprovechar el ruido de los sistemas de cifrado electromecánicos se había planteado a finales de la década de 1940, pero ahora se reevaluaba como una posible amenaza. Las emanaciones acústicas podían revelar el texto sin cifrar, pero solo si el dispositivo de captación estaba cerca de la fuente. Sin embargo, incluso micrófonos mediocres servían. Insonorizar la sala empeoró el problema al eliminar los reflejos y proporcionar una señal más limpia a la grabadora.

En 1956, el Laboratorio de Investigación Naval desarrolló un mezclador mejorado que operaba a voltajes y corrientes mucho más bajos y, por lo tanto, irradiaba mucho menos. Se incorporó a los nuevos sistemas de cifrado de la NSA. Sin embargo, muchos usuarios necesitaban niveles de señal más altos para controlar teleimpresoras a mayores distancias o cuando había varias conectadas, por lo que los nuevos dispositivos de cifrado incluían la opción de volver a aumentar la intensidad de la señal. La NSA comenzó a desarrollar técnicas y especificaciones para aislar las vías de comunicación sensibles mediante filtrado, blindaje, conexión a tierra y separación física: de las líneas que transportaban texto plano sensible, de las destinadas a transportar solo datos no sensibles, que a menudo se extendían fuera del entorno seguro. Este esfuerzo de separación se conoció como el Concepto Rojo/Negro . Una política conjunta de 1958, denominada NAG-1, estableció estándares de radiación para equipos e instalaciones basados ​​en un límite de control de 15 m (50 pies ) . También especificó los niveles de clasificación de varios aspectos del problema TEMPEST. La política fue adoptada por Canadá y el Reino Unido al año siguiente. Seis organizaciones —la Armada, el Ejército, la Fuerza Aérea, la NSA, la CIA y el Departamento de Estado— debían aportar la mayor parte del esfuerzo para su implementación.  

Pronto surgieron dificultades. La informatización se estaba volviendo crucial para el procesamiento de datos de inteligencia, y era necesario evaluar las computadoras y sus periféricos, muchos de los cuales presentaban vulnerabilidades. La Friden Flexowriter , una popular máquina de escribir de entrada/salida en aquel entonces, demostró ser una de las emisoras más potentes, legible a distancias de hasta 3200 pies (0,98 km) en pruebas de campo. La Junta de Seguridad de las Comunicaciones de EE. UU. (USCSB) elaboró ​​una política sobre la Flexowriter que prohibía su uso en el extranjero para información clasificada y limitaba su uso dentro de EE. UU. al nivel confidencial , y solo dentro de una zona de seguridad de 400 pies (120 m) , pero los usuarios consideraron la política onerosa e impráctica. Posteriormente, la NSA encontró problemas similares con la introducción de las pantallas de tubo de rayos catódicos ( CRT ), que también eran potentes emisoras de radiación.    

Se llevó a cabo un proceso de varios años para pasar de las recomendaciones políticas a la aplicación más estricta de las normas TEMPEST. La Directiva 5200.19 resultante, coordinada con 22 agencias distintas, fue firmada por el Secretario de Defensa Robert McNamara en diciembre de 1964, pero aún así tardó meses en implementarse por completo. La implementación formal por parte de la NSA entró en vigor en junio de 1966.

Mientras tanto, el problema de las emanaciones acústicas se agudizó con el descubrimiento de unos 900 micrófonos en instalaciones estadounidenses en el extranjero, la mayoría tras el Telón de Acero . La solución fue construir cabinas de aislamiento, algunas transparentes, apodadas "peceras". Otras unidades estaban completamente blindadas para contener las emanaciones electrónicas, pero no gozaban de popularidad entre el personal que debía trabajar en su interior; las llamaban "cámaras frigoríficas" y, en ocasiones, simplemente dejaban las puertas abiertas. No obstante, se instalaron en lugares críticos, como la embajada en Moscú, donde se instalaron dos: una para uso del Departamento de Estado y otra para los agregados militares. Una unidad instalada en la NSA para su equipo de generación de claves costó 134.000 dólares.

Los estándares TEMPEST continuaron evolucionando en la década de 1970 y posteriormente, con métodos de prueba más novedosos y directrices más matizadas que tenían en cuenta los riesgos en lugares y situaciones específicas. ^{[ 10 ] : Vol. I, Cap. 10} Durante la década de 1980, las necesidades de seguridad a menudo encontraron resistencia. Según David G. Boak de la NSA, «Algunas de las cosas que todavía escuchamos hoy en nuestros propios círculos, cuando los estándares técnicos rigurosos se reducen en aras del dinero y el tiempo, recuerdan inquietantemente al arrogante Tercer Reich con su criptomáquina Enigma». ^{: ibíd. , pág. 19}

En 1984, Zenith Data Systems ganó un contrato de 100 millones de dólares para suministrar computadoras TEMPEST al ejército de los Estados Unidos. ^{[ 11 ]}

Muchos detalles de las normas TEMPEST son clasificados , pero algunos elementos son públicos. Las normas Tempest actuales de Estados Unidos y la OTAN definen tres niveles de requisitos de protección: ^{[ 12 ]}

• Nivel A del programa SDIP-27 de la OTAN (anteriormente AMSG 720B) y Nivel I del programa NSTISSAM de EE. UU.

"Comprometiendo el estándar de prueba de laboratorio de emisiones"

Este es el estándar más estricto para los dispositivos que se utilizarán en entornos de la Zona 0 de la OTAN , donde se supone que un atacante tiene acceso casi inmediato (por ejemplo, en una habitación contigua, a 1 metro de distancia; 3 pies).

• Nivel B del programa SDIP-27 de la OTAN (anteriormente AMSG 788A) y Nivel II del programa NSTISSAM de EE. UU.

"Estándar de prueba de laboratorio para equipos de instalaciones protegidas"

Se trata de un estándar ligeramente menos estricto para los dispositivos que se utilizan en entornos de la Zona 1 de la OTAN , donde se supone que un atacante no puede acercarse a menos de unos 20 metros (66 pies) (o donde los materiales de construcción garantizan una atenuación equivalente a la atenuación en el espacio libre a esta distancia). 

• Nivel C del programa SDIP-27 de la OTAN (anteriormente AMSG 784) y Nivel III del programa NSTISSAM de EE. UU.

"Estándar de prueba de laboratorio para equipos/sistemas móviles tácticos"

Se aplica un estándar aún más flexible para los dispositivos que operan en entornos de la Zona 2 de la OTAN , donde los atacantes deben lidiar con el equivalente a 100 metros (330 pies) de atenuación en espacio libre (o atenuación equivalente a través de materiales de construcción). 

Las normas adicionales incluyen:

• OTAN SDIP-29 (anteriormente AMSG 719G)

"Instalación de equipos eléctricos para el procesamiento de información clasificada"

Esta norma define los requisitos de instalación, por ejemplo, en lo que respecta a la conexión a tierra y las distancias entre cables.

• AMSG 799B

"Procedimientos de zonificación de la OTAN"

Define un procedimiento de medición de atenuación, según el cual las habitaciones individuales dentro de un perímetro de seguridad se pueden clasificar en Zona 0, Zona 1, Zona 2 o Zona 3, lo que luego determina qué estándar de prueba de blindaje se requiere para los equipos que procesan datos secretos en estas habitaciones.

La NSA y el Departamento de Defensa han desclasificado algunos elementos de TEMPEST tras solicitudes amparadas por la Ley de Libertad de Información , pero los documentos ocultan muchos valores y descripciones clave. La versión desclasificada del estándar de prueba TEMPEST está fuertemente censurada , con límites de emanación y procedimientos de prueba censurados. ^{[ 13 ]} Una versión censurada del manual introductorio de Tempest NACSIM 5000 se publicó en diciembre de 2000. Además, el estándar actual de la OTAN SDIP-27 (conocido antes de 2006 como AMSG 720B, AMSG 788A y AMSG 784) sigue clasificado.

A pesar de esto, algunos documentos desclasificados proporcionan información sobre el blindaje requerido por las normas TEMPEST. Por ejemplo, el Manual Militar 1195 incluye el gráfico de la derecha, que muestra los requisitos de blindaje electromagnético en diferentes frecuencias. Una especificación desclasificada de la NSA para recintos blindados ofrece valores de blindaje similares, requiriendo "una pérdida de inserción mínima de 100 dB de 1  kHz a 10  GHz". ^{[ 14 ]} Dado que gran parte de los requisitos actuales aún están clasificados, no existen correlaciones disponibles públicamente entre este requisito de blindaje de 100  dB y las normas de blindaje basadas en zonas más recientes.

Además, muchos requisitos de distancia de separación y otros elementos se proporcionan en la guía de instalación rojo-negro desclasificada de la NSA , NSTISSAM TEMPEST/2-95. ^{[ 15 ]}

Los organismos de seguridad de la información de varios países de la OTAN publican listas de laboratorios de ensayo acreditados y de equipos que han superado dichas pruebas:

• En Canadá: Programa TEMPEST Industrial Canadiense ^{[ 16 ]}
• En Alemania: Lista de productos zonificados alemanes de BSI ^{[ 17 ]}
• En el Reino Unido: Directorio de productos Infosec Assured de UK CESG, Sección 12 ^{[ 18 ]}
• En EE. UU.: Programa de certificación TEMPEST de la NSA ^{[ 19 ]}

El Ejército de los Estados Unidos también cuenta con un centro de pruebas TEMPEST, que forma parte del Campo de Pruebas Electrónicas del Ejército de los EE. UU., en Fort Huachuca , Arizona . Existen instalaciones y listas similares en otros países de la OTAN.

La certificación TEMPEST debe aplicarse a sistemas completos, no solo a componentes individuales , ya que conectar un solo componente sin blindaje (como un cable o un dispositivo) a un sistema que de otro modo sería seguro podría alterar drásticamente las características de radiofrecuencia del sistema.

Las normas TEMPEST exigen una « separación ROJO/NEGRO », es decir, mantener distancia o instalar blindaje entre los circuitos y equipos utilizados para manejar información clasificada o sensible en texto plano no encriptada (ROJO) y los circuitos y equipos seguros (NEGRO), incluidos aquellos que transmiten señales encriptadas. La fabricación de equipos aprobados por TEMPEST debe realizarse bajo un riguroso control de calidad para garantizar que las unidades adicionales se fabriquen exactamente igual que las unidades probadas. Modificar incluso un solo cable puede invalidar las pruebas.

Un aspecto de las pruebas TEMPEST que las distingue de los límites a las emisiones espurias ( por ejemplo , la Parte 15 de la FCC ) es el requisito de una correlación mínima absoluta entre la energía radiada o las emisiones detectables y cualquier dato en texto plano que se esté procesando.

En 1985, Wim van Eck publicó el primer análisis técnico no clasificado sobre los riesgos de seguridad derivados de las emisiones de los monitores de ordenador . Este documento causó cierta consternación en la comunidad de seguridad, que hasta entonces creía que dicha monitorización era un ataque altamente sofisticado al alcance únicamente de los gobiernos ; Van Eck logró interceptar con éxito un sistema real, a una distancia de cientos de metros , utilizando tan solo 15 dólares en equipos y un televisor .

Como consecuencia de esta investigación, dichas emanaciones a veces se denominan "radiación de Van Eck", y la técnica de espionaje, "van eck phreaking" , aunque los investigadores gubernamentales ya estaban al tanto del peligro, ya que Bell Labs detectó esta vulnerabilidad en las comunicaciones seguras de teletipo durante la Segunda Guerra Mundial y logró producir el 75% del texto plano que se procesaba en una instalación segura desde una distancia de 80 pies (24 metros) . ^{[ 20 ]} Además, la NSA publicó Tempest Fundamentals, NSA-82-89, NACSIM 5000, National Security Agency (Clasificado) el 1 de febrero de 1982. Asimismo, la técnica de Van Eck se demostró con éxito a personal ajeno a TEMPEST en Corea durante la Guerra de Corea en la década de 1950. ^{[ 21 ]}

Markus Kuhn ha descubierto varias técnicas de bajo coste para reducir las posibilidades de que las emanaciones de las pantallas de ordenador puedan ser monitorizadas remotamente. ^{[ 22 ]} Con pantallas CRT y cables de vídeo analógicos , filtrar los componentes de alta frecuencia de las fuentes antes de renderizarlas en una pantalla de ordenador atenuará la energía con la que se emiten los caracteres de texto. ^{[ 23 ] [ 24 ]} Con las pantallas planas modernas , los cables de interfaz serie digital ( DVI ) de alta velocidad del controlador gráfico son una fuente principal de emanaciones comprometedoras. Añadir ruido aleatorio a los bits menos significativos de los valores de los píxeles puede hacer que las emanaciones de las pantallas planas sean ininteligibles para los espías, pero no es un método seguro. Dado que DVI utiliza un esquema de código de bits determinado que intenta transportar una señal balanceada de bits 0 y 1, puede que no haya mucha diferencia entre dos colores de píxeles que difieran mucho en su color o intensidad. Las emanaciones pueden diferir drásticamente incluso si solo cambia el último bit del color de un píxel. La señal que recibe el intruso también depende de la frecuencia en la que se detectan las emanaciones. La señal puede recibirse en varias frecuencias simultáneamente, y el contraste y el brillo de cada frecuencia difieren en relación con un color específico en la pantalla. Por lo general, la técnica de suprimir la señal roja con ruido no es efectiva a menos que la potencia del ruido sea suficiente para saturar el receptor del intruso, sobrecargando así su entrada.

Los indicadores LED en los equipos informáticos pueden ser una fuente de emisiones ópticas perjudiciales. ^{[ 25 ]} Una técnica para ello consiste en monitorizar las luces de un módem de acceso telefónico . Casi todos los módems emiten destellos de LED para indicar actividad, y es común que estos destellos se obtengan directamente de la línea de datos. Por lo tanto, un sistema óptico rápido puede detectar fácilmente los cambios en los destellos de los datos que se transmiten por el cable.

Investigaciones recientes ^{[ 26 ]} han demostrado que es posible detectar la radiación correspondiente a la pulsación de una tecla no solo en teclados inalámbricos (de radio), sino también en teclados tradicionales con cable [el teclado PS/2, por ejemplo, contiene un microprocesador que emite cierta cantidad de energía de radiofrecuencia al responder a las pulsaciones], e incluso en teclados de portátiles. Desde la década de 1970, la interceptación soviética de las máquinas de escribir IBM Selectric de la Embajada de EE. UU . permitió detectar el movimiento mecánico de las palancas, con imanes incorporados, generado por la pulsación de las teclas, mediante magnetómetros implantados, y convertirlo, a través de electrónica oculta, en una señal digital de radiofrecuencia. Cada transmisión de ocho caracteres proporcionaba a la Unión Soviética acceso a documentos confidenciales, mientras se escribían, en las instalaciones estadounidenses de Moscú y Leningrado. ^{[ 27 ]}

En 2014, los investigadores presentaron "AirHopper", un patrón de ataque bifurcado que muestra la viabilidad de la exfiltración de datos desde una computadora aislada a un teléfono móvil cercano, utilizando señales de frecuencia FM. ^{[ 28 ]}

En 2015, se presentó "BitWhisper", un "canal de señalización encubierto entre computadoras aisladas mediante manipulación térmica". BitWhisper admite comunicación bidireccional y no requiere hardware periférico dedicado adicional. ^{[ 29 ]} Más tarde, en 2015, los investigadores presentaron GSMem, un método para extraer datos de computadoras aisladas a través de frecuencias celulares. La transmisión, generada por un bus interno estándar, convierte la computadora en una pequeña antena transmisora ​​celular. ^{[ 30 ]} En febrero de 2018, se publicó una investigación que describía cómo se pueden usar campos magnéticos de baja frecuencia para escapar datos sensibles de computadoras aisladas mediante jaulas de Faraday con el malware con nombre en clave "ODINI", que puede controlar los campos magnéticos de baja frecuencia emitidos por las computadoras infectadas regulando la carga de los núcleos de la CPU. ^{[ 31 ]}

En 2018, los investigadores de Eurecom presentaron en ACM y Black Hat una clase de ataque de canal lateral que denominaron "canales gritones". ^{[ 32 ]} Este tipo de ataque se dirige a chips de señal mixta —que contienen un circuito analógico y digital en el mismo chip de silicio— con un transmisor de radio . El resultado de esta arquitectura, que se encuentra frecuentemente en objetos conectados , es que la parte digital del chip filtra metadatos sobre sus cálculos a la parte analógica, lo que provoca que la filtración de metadatos se codifique en el ruido de la transmisión de radio. Gracias a técnicas de procesamiento de señales , los investigadores pudieron extraer las claves criptográficas utilizadas durante la comunicación y descifrar el contenido. Según los autores, esta clase de ataque ya era conocida desde hace muchos años por las agencias de inteligencia gubernamentales .

• En la serie de televisión Numb3rs , en el episodio "Sacrificio" de la primera temporada, se utilizó un cable conectado a una antena de alta ganancia para "leer" la información de un monitor de computadora.
• En la serie de televisión Spooks , en el episodio "The Sting" de la cuarta temporada, se describe un intento fallido de leer información de un ordenador que no tiene conexión a la red.
• En la novela Cryptonomicon de Neal Stephenson , los personajes utilizan la técnica de Van Eck para leer información de un monitor de ordenador en una habitación contigua.
• En la serie de televisión Agents of SHIELD , en el episodio " Ragtag " de la primera temporada, se escanea una oficina en busca de firmas digitales en el espectro UHF.
• En el videojuego Tom Clancy's Splinter Cell: Chaos Theory , parte de la misión final consiste en espiar una reunión en una sala de guerra reforzada por TEMPEST. A lo largo de toda la saga Splinter Cell , también se utiliza un micrófono láser .
• En el videojuego Rainbow Six: Siege , el operador Mute tiene experiencia con las especificaciones TEMPEST. Inicialmente diseñó un Disruptor de Señal para evitar que los micrófonos ocultos en reuniones confidenciales transmitieran, y lo adaptó para el combate, siendo capaz de interrumpir dispositivos activados remotamente, como cargas explosivas.
• En la serie de novelas The Laundry Files de Charles Stross , el personaje James Angleton (un oficial de alto rango de una agencia de inteligencia ultrasecreta) siempre utiliza dispositivos de baja tecnología como una máquina de escribir o un Memex para defenderse de TEMPEST (a pesar de que el edificio está protegido contra TEMPEST). ^{[ 33 ]}

• Espacio de aire (redes) : los espacios de aire pueden romperse mediante técnicas similares a TEMPEST ^{[ 34 ].}
• Vigilancia informática y de redes
• Seguridad informática
• MIL-STD-461
• Inteligencia radiológica