TEMPEST और EMSEC: क्या साइबर हमलों में विद्युत चुम्बकीय तरंगों का उपयोग करना संभव है?

वेनेजुएला ने हाल ही में ब्लैकआउट की एक श्रृंखला का अनुभव किया, जिसने देश के 11 राज्यों को बिजली के बिना छोड़ दिया। इस घटना की शुरुआत से, निकोलस मादुरो की सरकार ने दावा किया कि यह तोड़फोड़ का एक कार्य था, जिसे राष्ट्रीय विद्युत कंपनी कॉर्पोलेक और उसके बिजली संयंत्रों पर विद्युत चुम्बकीय हमलों और साइबर हमलों के लिए संभव बनाया गया था। इसके विपरीत, जुआन गुआदो की स्व-घोषित सरकार ने इस घटना को " अक्षमता [और शासन की विफलता " पर दोषी ठहराया।

स्थिति के निष्पक्ष और गहन विश्लेषण के बिना, यह स्थापित करना बहुत मुश्किल है कि क्या ये आउटेज तोड़फोड़ का परिणाम थे या क्या वे रखरखाव की कमी के कारण थे। फिर भी, कथित तोड़फोड़ के आरोप सूचना सुरक्षा से संबंधित कई दिलचस्प मुद्दों को उठाते हैं। महत्वपूर्ण बुनियादी ढांचे की सुविधाओं, जैसे कि बिजली संयंत्र, पर कई नियंत्रण प्रणालियां बंद हैं, और इसलिए उनके पास बाहरी इंटरनेट कनेक्शन नहीं हैं। इस प्रकार, सवाल उठता है: क्या साइबर हमलावर अपने कंप्यूटर से सीधे जुड़े बिना बंद आईटी सिस्टम तक पहुंच प्राप्त कर सकते हैं? जवाब है हां। इस मामले में, विद्युत चुम्बकीय तरंगों पर हमला वेक्टर हो सकता है।

विद्युत चुम्बकीय विकिरण को "कैप्चर" कैसे करें

सभी इलेक्ट्रॉनिक उपकरण विद्युत चुम्बकीय और ध्वनिक संकेतों के रूप में विकिरण उत्पन्न करते हैं। कई कारकों पर निर्भर करता है, जैसे कि दूरी और बाधाएं, सुनने वाले उपकरण विशेष एंटेना या अत्यधिक संवेदनशील माइक्रोफोन (ध्वनिक संकेतों के मामले में) का उपयोग करके इन उपकरणों से संकेतों को "उठा" सकते हैं और उपयोगी जानकारी निकालने के लिए उन्हें संसाधित कर सकते हैं। इस तरह के उपकरणों में मॉनिटर और कीबोर्ड शामिल हैं, और जैसे कि उनका उपयोग साइबर अपराधियों द्वारा भी किया जा सकता है।

अगर हम मॉनिटर के बारे में बात करते हैं, तो 1985 में, शोधकर्ता विम वैन आइक ने इस तरह के उपकरणों से विकिरण के साथ सुरक्षा जोखिमों के बारे में पहला अवर्गीकृत दस्तावेज प्रकाशित किया। जैसा कि आपको याद है, तब प्रयुक्त कैथोड रे ट्यूब (CRT) पर नज़र रखता है। उनके शोध से पता चला कि मॉनिटर से विकिरण दूर से "पढ़ा" जा सकता है और मॉनिटर पर प्रदर्शित छवियों को फिर से संगठित करने के लिए उपयोग किया जाता है। इस घटना को वैन आईक इंटरसेप्शन के रूप में जाना जाता है, और वास्तव में यह एक कारण है कि ब्राजील और कनाडा सहित कई देशों में इलेक्ट्रॉनिक वोटिंग सिस्टम को चुनावी प्रक्रियाओं में उपयोग के लिए बहुत असुरक्षित माना जाता है।


उपकरण अगले कमरे में स्थित एक अन्य लैपटॉप का उपयोग करने के लिए उपयोग किया जाता है। स्रोत: तेल अवीव विश्वविद्यालय

हालांकि एलसीडी मॉनिटर अब CRT मॉनिटर की तुलना में बहुत कम विकिरण उत्पन्न करते हैं, हाल के शोध से पता चला है कि वे कमजोर भी हैं। इसके अलावा, तेल अवीव (इज़राइल) विश्वविद्यालय के विशेषज्ञों ने स्पष्ट रूप से इसका प्रदर्शन किया है । वे अगले कमरे में स्थित लैपटॉप पर एन्क्रिप्टेड सामग्री का उपयोग करने में कामयाब रहे, जिसमें $ 3,000 के लगभग सरल उपकरण का उपयोग किया गया, जिसमें एंटीना, एम्पलीफायर और विशेष सिग्नल प्रोसेसिंग सॉफ्टवेयर वाला लैपटॉप शामिल था।

दूसरी ओर, कीबोर्ड स्वयं भी अपने उत्सर्जन को बाधित करने के लिए संवेदनशील हो सकते हैं। इसका मतलब यह है कि साइबर हमलों का एक संभावित खतरा है, जिसमें हमलावर पंजीकरण डेटा और पासवर्ड को पुनर्प्राप्त कर सकते हैं जो यह विश्लेषण करते हैं कि कीबोर्ड पर कौन सी कुंजी दबाया गया था।

टेम्पेस्ट और ईएमएसईसी

सूचना निकालने के लिए विकिरण के उपयोग ने प्रथम विश्व युद्ध के दौरान अपना पहला आवेदन प्राप्त किया, और यह टेलीफोन तारों से जुड़ा था। इन तकनीकों का व्यापक रूप से शीत युद्ध के दौरान अधिक उन्नत उपकरणों के साथ उपयोग किया गया था। उदाहरण के लिए, 1973 से एक नासा के अघोषित दस्तावेज बताते हैं कि कैसे, 1962 में, जापान में अमेरिकी दूतावास के एक सुरक्षा अधिकारी ने पाया कि पास के अस्पताल में एक डिपो को अपने संकेतों को बाधित करने के लिए दूतावास की इमारत में भेजा गया था।

लेकिन TEMPEST की अवधारणा 70 के दशक की शुरुआत में यूएसए में दिखाई देने वाले पहले विकिरण निर्देशों के रूप में दिखाई देने लगी । इस कोड का नाम इलेक्ट्रॉनिक उपकरणों से अनजाने (स्पर) उत्सर्जन पर शोध को संदर्भित करता है जो वर्गीकृत जानकारी के रिसाव में योगदान कर सकता है। TEMPEST मानक यूएस नेशनल सिक्योरिटी एजेंसी (NSA) द्वारा बनाया गया था और सुरक्षा मानकों के उद्भव के लिए भी अपनाया गया था जिन्हें नाटो द्वारा भी अपनाया गया था ।

इस शब्द का उपयोग अक्सर EMSEC (उत्सर्जन सुरक्षा) शब्द के साथ किया जाता है, जो COMSEC (संचार सुरक्षा) मानकों का हिस्सा है।

मंदिर संरक्षण

संचार उपकरण के लिए लाल / काले क्रिप्टोग्राफ़िक वास्तुकला आरेख। स्रोत: डेविड क्लेदिर्मैचर

सबसे पहले, TEMPEST सुरक्षा को क्रिप्टोग्राफी की मूल अवधारणा पर लागू किया जाता है, जिसे रेड / ब्लैक आर्किटेक्चर (लाल / काला) के रूप में जाना जाता है। यह अवधारणा सिस्टम को "रेड" उपकरण में विभाजित करती है, जिसका उपयोग गोपनीय जानकारी और "ब्लैक" उपकरण को संसाधित करने के लिए किया जाता है, जो बिना गोपनीयता टिकट के डेटा प्रसारित करता है। TEMPEST संरक्षण का एक उद्देश्य यह पृथक्करण है, जो सभी घटकों को अलग करता है, "लाल" उपकरण को "ब्लैक" विशेष फिल्टर से अलग करता है।

दूसरे, इस तथ्य को ध्यान में रखना महत्वपूर्ण है कि सभी उपकरणों का एक निश्चित विकिरण स्तर होता है । इसका मतलब है कि सुरक्षा का अधिकतम संभव स्तर कंप्यूटर, सिस्टम और घटकों सहित पूरे स्थान की पूरी सुरक्षा होगी। हालांकि, अधिकांश संगठनों के लिए यह बेहद महंगा और अव्यवहारिक होगा। इस कारण से, अधिक सटीक तकनीकों का उपयोग किया जाता है:

• ज़ोनिंग आकलन : रिक्त स्थान, प्रतिष्ठानों और कंप्यूटर के लिए मंदिर सुरक्षा स्तर की जांच करने के लिए उपयोग किया जाता है। इस मूल्यांकन का संचालन करने के बाद, संसाधनों को उन घटकों और कंप्यूटरों के लिए निर्देशित किया जा सकता है जिनमें सबसे संवेदनशील जानकारी या अनएन्क्रिप्टेड डेटा होता है। विभिन्न संचार नियामक प्राधिकरण, जैसे यूएसए में एनएसए या स्पेन में सीसीएन , ऐसी तकनीकों को प्रमाणित करते हैं।
• परिरक्षित क्षेत्र : एक ज़ोनिंग मूल्यांकन यह दिखा सकता है कि कंप्यूटर युक्त कुछ रिक्त स्थान पूरी तरह से सभी सुरक्षा आवश्यकताओं को पूरा नहीं करते हैं। ऐसे मामलों में, एक विकल्प पूरी तरह से अंतरिक्ष को ढालने या ऐसे कंप्यूटरों के लिए परिरक्षित अलमारियाँ का उपयोग करना है। ये अलमारियाँ विशेष सामग्रियों से बनी होती हैं जो विकिरण के प्रसार को रोकती हैं।
• अपने स्वयं के प्रमाण पत्र के साथ कंप्यूटर : कभी-कभी कंप्यूटर एक सुरक्षित स्थान पर हो सकता है, लेकिन सुरक्षा के पर्याप्त स्तर की कमी हो सकती है। सुरक्षा के मौजूदा स्तर को बढ़ाने के लिए, कंप्यूटर और संचार प्रणालियाँ हैं जिनका अपना स्वयं का TEMPEST प्रमाणीकरण है, जो उनके हार्डवेयर और अन्य घटकों की सुरक्षा को प्रमाणित करता है।

TEMPEST दिखाता है कि भले ही कॉर्पोरेट सिस्टम में व्यावहारिक रूप से सुरक्षित स्थान हों या बाहरी संचार से भी जुड़े नहीं हैं, फिर भी कोई गारंटी नहीं है कि वे पूरी तरह से सुरक्षित हैं। किसी भी स्थिति में, महत्वपूर्ण इन्फ्रास्ट्रक्चर में अधिकांश कमजोरियां साधारण हमलों (उदाहरण के लिए, रैंसमवेयर) से संबंधित होती हैं, जिसकी हमने हाल ही में रिपोर्ट की थी । इन मामलों में, आप उचित सुरक्षा और उन्नत सुरक्षा विकल्पों के साथ उन्नत सूचना सुरक्षा समाधानों का उपयोग करके ऐसे हमलों से बच सकते हैं । इन सभी सुरक्षात्मक उपायों का संयोजन कंपनी के भविष्य या पूरे देश के लिए प्रणालियों की सुरक्षा को सुनिश्चित करने का एकमात्र तरीका है।