В зависимости от причин возникновения наводки информативных сигналов можно разделить на [1, 5, 9]:
а) наводки информативных сигналов в электрических цепях ТСОИ, вызванные информативными побочными и (или) паразитными электромагнитными излучениями ТСОИ;
б) наводки информативных сигналов в соединительных линиях ВТСС и посторонних проводниках, вызванные информативными побочными и (или) паразитными электромагнитными излучениями ТСОИ;
в) наводки информативных сигналов в электрических цепях ТСОИ, вызванные внутренними ёмкостными и (или) индуктивными связями («просачивание» информативных сигналов в цепи электропитания через блоки питания ТСОИ);
г) наводки информативных сигналов в цепях заземления ТСОИ, вызванные информативными ПЭМИ ТСОИ, а также гальванической связью схемной (рабочей) земли и блоков ТСОИ.
Рис. 8. Перехват наводок информативных сигналов с инженерных
коммуникаций техническим средством разведки ПЭМИН
Различные вспомогательные технические средства, их соединительные линии, а также линии электропитания, посторонние проводники и цепи заземления выполняют роль случайных антенн, при подключении к которым средств разведки возможен перехват наведённых информативных сигналов (рис. 8).
Случайные антенны могут быть сосредоточенными и распределёнными.
Сосредоточенная случайная антенна представляет собой компактное техническое средство (например, телефонный аппарат, громкоговоритель радиотрансляционной сети, датчик пожарной сигнализации и т.д.), подключённое к линии, выходящей за пределы контролируемой зоны.
К распределённым случайным антеннам относятся случайные антенны с распределёнными параметрами: кабели, провода, металлические трубы и другие токопроводя-щие коммуникации, выходящие за пределы контролируемой зоны.
Уровень наводимых в них сигналов в значительной степени зависит не только от мощности излучаемых сигналов, но и расстояния до них от ТСОИ.
При распространении по случайной антенне наведённый информативный сигнал затухает.
Коэффициент затухания информативного сигнала можно рассчитать или определить экспериментально.
При известных коэффициенте усиления случайной антенны, её чувствительности и характеристиках приёмного устройства легко рассчитать значение наведённого информативного сигнала, при котором вероятность его обнаружения приёмным устройством средства разведки будет равна нормированному значению (Р0 =РП).
Пространство вокруг ТСОИ, на границе и за пределами которого уровень наведённого от ТСОИ информативного сигнала в сосредоточенных антеннах не превышает допустимого (нормированного) значения (U=Un), называется опасной зоной 1 (r1), а в распределённых антеннах — опасной зоной 1′ (rl’) [1, 7].
Рис. 9. Схема технического канала утечки информации,
возникающего за счёт наводок побочных электромагнитных излучений СВТ
в случайных антеннах (схема электрического канала утечки информации)
В отличие от зоны R2 размер зоны r1 (r1′) зависит не только от уровня побочных электромагнитных излучений ТСОИ, но и от длины случайной антенны (от помещения, в котором установлено ТСОИ до места возможного подключения к ней средства разведки).
Зоны r1 и r1′ для каждого СВТ определяются инструментально-расчётным методом, и их значения указываются в предписании на их эксплуатацию СВТ.
Для возникновения электрического канала утечки информации необходимо, чтобы (рис. 9):
- соединительные линии ВТСС, линии электропитания, посторонние проводники и т.д., выполняющие роль случайных антенн, выходили за пределы контролируемой зоны объекта;
- расстояние от СВТ до случайной сосредоточенной антенны было менее r1, а расстояние до случайной распределённой антенны было менее r1′;
- была возможность непосредственного подключения к случайной антенне за пределами контролируемой зоны объекта средств разведки ПЭМИН.
Появление информативных сигналов в цепи электропитания СВТ возможно как за счёт ПЭМИ, так и при наличии внутренних паразитных ёмкостных и (или) индуктивных связей выпрямительного устройства блока питания СВТ.
Наводки информативных сигналов в цепях заземления СВТ также могут быть обусловлены гальванической связью схемной (рабочей) земли и блоков СВТ.
В случае нахождения трансформаторной подстанции или заземлителя контура заземления за пределами контролируемой зоны объекта, при подключении к ним средства разведки ПЭМИН возможен перехват наведённых в них информативных сигналов (рис. 10).
Схемы технических каналов утечки информации, возникающих за счёт наводок информативных сигналов в линиях электропитания и заземления СВТ, приведены на рис. 11 и 12 соответственно.
4. Специально создаваемые технические каналы утечки информации
Наряду с пассивными способами перехвата информации, обрабатываемой СВТ, рассмотренными выше, возможно использование и активных способов, в частности, способа «высокочастотного облучения» (рис. 13 и 14), при котором СВТ облучается мощным высокочастотным гармоническим сигналом (для этих целей используется высокочастотный генератор с направленной антенной, имеющей узкую диаграмму направленности).
При взаимодействии облучающего электромагнитного поля с элементами СВТ происходит модуляция вторичного излучения информативным сигналом.
Переизлучённый сигнал принимается приёмным устройством средства разведки и детектируется.
Для перехвата информации, обрабатываемой СВТ, возможно также использование электронных устройств перехвата информации (закладных устройств), скрытно внедряемых в технические средства и системы (рис. 15).
Перехваченная с помощью закладных устройств информация или непосредственно передаётся по каналу связи на приёмный пункт, или записывается в специальное запоминающее устройство и передаётся только по команде управления.
Для передачи информации на приёмный пункт могут использоваться радиоканал, оптический (инфракрасный) канал или линии электропитания СВТ (рис. 16).
Рис. 10. Перехват информативных сигналов при подключении
средств разведки ПЭМИН к линиям электропитания и заземления СВТ
Рис. 11. Схема технического канала утечки информации,
возникающего за счёт наводок информативных сигналов
в линиях электропитания и заземления СВТ
Рис. 12. Схема технического канала утечки информации,
возникающего за счёт наводок информативных сигналов
в цепях заземления СВТ
Закладные устройства, внедряемые в СВТ, по виду перехватываемой информации можно разделить на [9]:
- аппаратные закладки для перехвата изображений, выводимых на экран монитора;
- аппаратные закладки для перехвата информации, вводимой с клавиатуры ПЭВМ;
- аппаратные закладки для перехвата информации, выводимой на периферийные устройства (например, принтер);
- аппаратные закладки для перехвата информации, записываемой на жёсткий диск ПЭВМ.
Аппаратные закладки для перехвата изображений, выводимых на экран монитора, состоят из блока перехвата и компрессии, передающего блока, блока управления и блока питания (преобразователя AC/DC).
Они скрытно устанавливаются, как правило, в корпусе монитора (возможна установка закладки и в системном блоке ПЭВМ) и контактно подключаются к кабелю монитора.
Рис. 13. Перехват информации, обрабатываемой СВТ,
методом «высокочастотного облучения»
Рис. 14. Схема технического канала утечки информации,
создаваемого путём «высокочастотного облучения» СВТ
Перехваченная информация (видеоизображение) в цифровом виде передаётся по радиоканалу, линии электросети 220 В или выделенной линии на приёмный пункт, где перехваченное изображение восстанавливается и отображается на экране компьютера в реальном масштабе времени, создавая «копию» экрана, а дополнительная информация может записываться на жёсткий диск для дальнейшей обработки.
Блок дистанционного управления предназначен для приёма сигналов дистанционного включения и выключения закладного устройства и установления параметров работы передающего устройства.
Питание закладного устройства осуществляется от сети 220 В через блок питания.
Рис. 15. Перехват информации, обрабатываемой СВТ,
путём установки в них закладных устройств
Рис. 16. Схема технического канала утечки информации,
создаваемого путём внедрения в СВТ закладных устройств
Приёмный комплекс состоит из радиоприёмного устройства, модема, ПЭВМ типа notebook и специального программного обеспечения.
Аппаратные закладки для перехвата информации, вводимой с клавиатуры ПЭВМ, скрытно устанавливаются в корпусе клавиатуры или внутри системного блока и подключаются к интерфейсу клавиатуры.
Они являются самыми распространёнными закладными устройствами и предназначены в основном для перехвата паролей пользователей и текстовых документов, набираемых с использованием ПЭВМ. Перехватываемая информация может или передаваться по радиоканалу, или записываться на flash-память.
Рис.17. Аппаратный кейлоггер с передачей информации по радиоканалу BE24:
а) аппаратная закладка BE24 Т, устанавливаемая в клавиатуру;
б) специальное приёмное устройство BE24 СК
Аппаратный кейлоггер с передачей информации по радиоканалу состоит из модуля перехвата, передающего или запоминающего блоков и блока управления.
Питание кейлогге-ра осуществляется от интерфейса клавиатуры.
Модуль перехвата осуществляет перехват сигналов, передаваемых от клавиатуры в системный блок при нажатии клавиши.
Перехваченные сигналы в цифровом виде передаются по радиоканалу на приёмный пункт, где в реальном масштабе времени восстанавливаются и отображаются на экране компьютера в виде символов, набираемых на клавиатуре.
Блок дистанционного управления предназначен для приёма сигналов дистанционного включения и выключения закладного устройства и установления параметров работы передающего устройства.
Приёмный комплекс состоит из радиоприёмного устройства, специального модемного модуля (модема), ПЭВМ типа notebook и специального программного обеспечения.
Для передачи информации наиболее часто используется UHF — диапазон.
Например, аппаратный кейлоггер KS-1 работает на частоте 434,0005 МГц, а кейлоггер BE24 Т — в диапазоне частот от 300 до 306 МГц [11].
При передаче информации используется частотная манипуляция (FFSK) сигнала.
Мощность передатчика может составлять от 1-20 мВт до 50-100 мВт, что обеспечивает передачу информации на дальности от 50 до 500 м и более.
Аппаратные кейлоггеры имеют небольшие размеры и весят несколько грамм. Например, кейлоггер BE24 Т имеет размеры 48x16x4 мм [11].
На рис. 17 представлен внешний вид аппаратного кейлоггера, осуществляющего передачу перехваченной информации по радиоканалу, и специального приёмного устройства, на рис.18 — схема его применения [11].
Некоторые аппаратные кейлоггеры для передачи информации используют канал Bluetooth.
Внешний вид одного из таких кейлоггеров представлен на рис. 19 [15].
Аппаратные кейлоггеры, осуществляющие запись перехваченной информации на flash-память, состоят из датчика, осуществляющего перехват сигналов, передаваемых от клавиатуры в системный блок при нажатии клавиши, микроконтроллера и flash-памяти [12, 14].
Такие аппаратные кейлоггеры работают под управлением любой операционной системы. Они не требуют дополнительного питания (питание осуществляется от клавиатуры ПЭВМ).
Запись информации осуществляется на flash-память объёмом от 64 кБ до 2 ГГб.
При объёме памяти 1 МГб обеспечивается запись до 2000000 нажатий клавиш или 500 страниц текста. Записываемая на flash-память информация шифруется с использованием 128-битного ключа [12, 14].
Рис. 18. Перехват информации, вводимой с клавиатуры ПЭВМ,
аппаратным кейлоггером с передачей информации по радиоканалу
Рис.19. Аппаратный кейлоггер BT PS/2 Extended с передачей данных по каналу Blutooth:
а) — вид спереди; б) — вид сбоку
Кейлоггеры выпускаются в виде переходных разъёмов или удлинителей, подключаемых в разрыв кабелей, соединяющих клавиатуру и системный блок (рис. 20).
Их установка не требует специальных навыков и может быть произведена в считанные секунды (рис. 21-23) [12, 14].
При наличии большого количества различных кабелей, подключённых к системному блоку ПЭВМ, обнаружить факт установки кейлоггера довольно трудно.
Аппаратные закладки для перехвата информации, выводимой на принтер, устанавливаются в корпусе принтера и по принципу работы аналогичны аппаратным закладкам, рассмотренным выше.
Аппаратные закладки для перехвата информации, записываемой на жёсткий диск ПЭВМ, являются наиболее сложными из рассмотренных выше.
Они состоят из блока перехвата, блока обработки, передающего блока, блока управления и блока питания (преобразователя AC/DC).
Они скрытно устанавливаются в системном блоке ПЭВМ и контактно подключаются через специальный блок перехвата к интерфейсу, соединяющему жёсткий диск с материнской платой.
Перехватываемые сигналы поступают в блок специальной обработки, включающий специализированный процессор, где осуществляется их обработка по специальной программе.
Файлы с заданным расширением (например, *.doc) записываются в оперативную или flash память.
По команде управления записанная в памяти информация в цифровом виде по радиоканалу или сети 220 В передаётся на приёмный пункт, где в виде отдельных файлов записывается на жёсткий диск для дальнейшей обработки.
Рис. 20. Внешний вид аппаратных кейлоггеров,
осуществляющих запись перехваченной информации на flash-память
Рис. 21. Подключение кейлоггера, выполненного в виде переходного разъёма,
к четырехпроводному (PS/2) интерфейсу клавиатуры
Рис. 22. Подключение кейлоггера, выполненного в виде
переходного разъёма, к USB- интерфейсу клавиатуры
Рис. 23. Подключение кейлоггера, выполненного в виде переходного разъёма с PS/2 на USB разъём (а)
и кейлоггера, выполненного в виде удлинителя кабеля клавиатуры, к USB- разъёму системного блока
Питание закладного устройства осуществляется от сети 220 В через блок питания.
Приёмный комплекс состоит из радиоприёмного устройства, модема, ПЭВМ типа notebook и специального программного обеспечения.
Таким образом, перехват информации, обрабатываемой средствами вычислительной техники, может осуществляться путём:
- перехвата побочных электромагнитных излучений, возникающих при работе СВТ;
- перехвата наводок информативных сигналов с соединительных линий ВТСС и посторонних проводников;
- перехвата наводок информативных сигналов с линий электропитания и заземления СВТ;
- «высокочастотного облучения» СВТ; внедрения в СВТ закладных устройств.
Литература
1. Бузов Г.А., Калинин С.В., Кондратьев А.В. Защита от утечки по информации техническим каналам: Учеб. пособие. -М.: Горячая линия — Телеком, 2005. — 416 с.
2. ГОСТ Р 50922- 2006. Защита информации. Основные термины и определения. — Введ. 2008-02-01. — М.: Стандартинформ, 2007. — 12 с.
3. ГОСТ 23611-79. Совместимость радиоэлектронных средств электромагнитная. Термины и определения. — Введ. 1980-07-01. — М.: Стандартинформ, 2005. — 10 с.
4. ГОСТ 24375-80. Радиосвязь. Термины и определения. — Введ. 1982-01-01. — М.: Стандартинформ, 2005. — 123 с.
5. ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.
Взамен: ГОСТ Р 51275-99; введ. 2008-02-01. — М.: Стандартинформ, 2007. — 6 с.
6. Об информации, информационных технологиях и о защите информации: федер. закон от 27 июля 2006 г. № 149-ФЗ: [принят Гос. Думой 8 июля 2006 г.: одобрен Советом Федерации 14 июля 2006 г.]. [Электронный ресурс]. — Режим доступа: http://rg.ru/2006/07/29/informacia-dok.html.
7. Терминология в области защиты информации: Справочник. М.: ВНИИ Стандарт, 1993. -110 с.
8. Техническая защита информации. Основные термины и определения: рекомендации по стандартизации Р 50.1.056-2005: утв. Приказом Ростехрегулирования от 29 декабря 2005 г. № 479-ст . — Введ. 2006-06-01. — М.: Стандартинформ, 2006. — 16 с.
9. Хорев А.А. Техническая защита информации: учеб. пособие для студентов ву-зов. В 3 т. Т. 1. Технические каналы утечки информации. М.: НПЦ «Аналитика», 2008. — 436 с.
10. Anti terror equipment: catalog. — Germany: PKI Electronic Intelligence, 2008. — 116р. + [Электронный ресурс]. — Режим доступа: http://pki-electronic
11. Computer Keyboard Monitoring: product range. — Italy, Torino, B.E.A. S.r.l., 2007. -Р. 35-37.
12. KeyDevil Keylogger. [Электронный ресурс]. — Режим доступа: http://keydevil/secure-purchase.html.
13. Kuhn Markus G. Compromising emanations: eavesdropping risks of computer displays. [Электронный ресурс]. — Режим доступа: http://cl.cam.ac.uk/techreports/UCAM-CL-TR-577.html.
14. Security and surveillance products. [Электронный ресурс]. — Режим доступа: http://endoacustica/index_en.htm.
15. Wireless controlled keylogger. [Электронный ресурс]. — Режим доступа: http://keyear/products.html.