TEMPEST-hajasäteilysuojaus

TEMPEST-suojatuilla laitteilla estät sähkömagneettisen hajasäteilyn vuotamisen laitteiden ulkopuolelle. Kaso on TEMPEST-laitteiden rautainen ammattilainen. Toimitamme asiakkaillemme kaikenlaiset TEMPEST-suojatut laitteet, työasemakokonaisuudet ja muut tarvikkeet aina yksilöllisesti mitattuna NATO- ja EU-akkreditoidun TEMPEST-laboratorion toimesta. Toimitus sisältää aina laitekokonaisuuksien yksilölliset vaatimuksenmukaisuustodistukset, joilla pystyt osoittamaan auditoijalle, että laitteesi vastaavat annettuihin vaatimuksiin. TEMPEST-laitteet ovat aina kokonaisuuksia – ota meihin yhteyttä, niin avustamme oikeiden laitteiden ja laitekokonaisuuksien valinnassa ja laadimme tarjouksen juuri sinun tarpeisiisi soveltuvasta kokonaisuudesta. TEMPEST-laitteiden kanssa kannattaa olla nyt ajoissa liikenteessä, sillä näille tuotteille on maailmanpoliittisista syistä voimakas kysyntä ja toimitusajat voivat olla pitkiä.

Kasolta kaikki NATO SDIP 27 -standardin mukaiset TEMPEST-laitteet A, B ja C-luokissa:

tietokoneet ja työasemat
näytöt, monitorit, näppäimistöt, hiiret
IP-puhelimet
läppärit
serverit
muut verkkolaitteet ja kaapelit
printterit ja skannerit
kuulokkeet ja kaiuttimet
USB-lukijat
räkkikaapit (sisälle norm. COTS-laitteet)
muut laitteet

https://www.kaso.fi/wp-content/uploads/2023/05/TEMPEST.jpg

Mitä hajasäteily on?

Hajasäteilyllä tarkoitetaan erilaisten elektronisten laitteiden ulospäin tuottamaa signaali- ja/tai äänivuotoa, jota pystytään tietyin menetelmin ja nykyaikana kohtuullisen edullisin työkaluin sekä ohjelmistoin kaappaamaan ja muuntamaan ymmärrettävään muotoon kymmenien tai jopa satojen metrien päästä varsinaisesta kohteesta siitä huolimatta, että etäisyyden välillä olisi seinärakenteita.

Termiä hajasäteily ei tule sekoittaa sähkömagneettiseen pulssiin (EMP), joka voi niin ikään olla uhka. EMP-pulssia voidaan käyttää hyökkäykseen, jonka tarkoituksena on tuhota tai lamauttaa elektroninen laitteisto käyttökelvottomaksi. Hajasäteilyä hyödyntävän hyökkäyksen tarkoituksena on sen sijaan salaisen tiedon urkinta ja vakoilu.

Entä mikä TEMPEST on?

Hajasäteilystä puhuttaessa törmätään usein myös termiin ”TEMPEST”. TEMPEST-käsitteen alkuperästä on lähteestä riippuen useita tulkintoja. Erään tulkinnan mukaan TEMPEST on Yhdysvaltain valtionhallinnon käyttämä koodinimi erilaisille hajasäteilyn suojaustoimenpiteille. Toisaalta termin on väitetty olevan akronyymi eli lyhennys useista perättäisistä sanoista. Yhden akronyymitulkinnan mukaan lyhennys TEMPEST tulee englannin kielen sanoista Transient Electromagnetic Pulse Emanation Standard. Toisten lähteiden mukaan TEMPEST on taas lyhenne sanoista Telecommunications Electronics Material Protected from Emanating Spurious Transmissions. Joka tapauksessa TEMPEST on ollut ja on yhä Yhdysvaltojen NSA:n sekä NATO:n standardi ja sertifikaatti hajasäteilyyn liittyvissä kysymyksissä.

Vaikka TEMPEST-termi viittaa standardiin, tarkoitetaan termillä nykypäivänä kansainvälisestikin muun muassa Euroopan Unionissa hyvin laajasti hajasäteilyyn liittyviä toimenpiteitä. Suomessa Traficom on TEMPEST-asioissa toimivaltainen viranomainen ja heidän määritelmän mukaan TEMPEST-termillä tarkoitetaan vaarantavaan hajasäteilyyn kohdistuvia tarkastuksia, tutkimuksia, kontrollointia ja hajasäteilyä vaimentavia (tukahduttavia) toimia.

Taustaa ilmiölle

Hajasäteily ei ole ilmiönä uusi asia. Puolustusorganisaatiot ovat ymmärtäneet lähteestä riippuen jo ainakin 1960-luvun alkupuolelta lähtien sen, että tietokoneet ja niihin liittyvät komponentit sekä lisälaitteet tuottavat ulospäin vuotavaa säteilyä, josta aiheutuva vuotosignaali on kaapattavissa ja muutettavissa lukukelpoiseksi. Samalta aikakaudelta on myös olemassa viitteitä käytännön tasolla suoritetuista hajasäteilyhyökkäysyrityksistä valtoiden välisessä korkean tason tiedustelutoiminnassa. Hajasäteilyyn liittyvää tutkimusta toteutettiin 1960- ja 1980-lukujen välissä vain valtiollisten puolustus- ja tutkimusorganisaatioiden toimesta ja tutkimustiedot olivat ja ovat edelleen löydösten ja uuden tiedon perusteella kehitettyjen menetelmien arkaluontoisuudesta johtuen salaisia. Tästä johtuen ilmiön tunnistamisen alkuaikojen tutkimusta on saatavilla julkisista lähteistä edelleen erittäin rajoitetusti.

Vielä 1980-luvun alussa julkisessa tutkimuksessa oltiin hyvin perillä sähkömagneettisten laitteiden lähettämistä sähkömagneettisista kentistä, jotka saattoivat aiheuttaa häiriöitä esimerkiksi radion tai television signaalin vastaanotossa. Tutkimus löysi myöhemmin kansainvälisestikin yleisesti hyväksytyt käytännöt laitteiden häiriötasojen mittaamiseen ja useissa maissa otettiin käyttöön lait näiden laitteiden tuottamien häiriöiden maksimiarvoille. Samaan aikaan sähkömagneettisen säteilyn aiheuttamille tiedon kaappausriskeille ei annettu tieteessä juurikaan painoarvoa.

Ensimmäinen julkinen ja puhtaasti tieteellisen organisaation tuottama hajasäteilyyn liittyvä tutkimus julkaistiin hollantilaisen Wim van Eckin toimesta vuonna 1985. Tutkijana van Eck oli mukana tammikuussa vuonna 1983 alkaneessa projektissa, jossa tutkittiin mahdollisuutta salakuunnella videotoistolaitteita. Tutkimuksen yhteydessä kävi ilmi, että tiedon kaappaus tietokoneen kuvaruudulta oli mahdollista useiden satojen metrien tai jopa kilometrin päästä hyvin yksinkertaisesti käyttämällä aivan tavallisesta televisiovastaanottimesta löytyvien komponenttien lisäksi parinkymmenen dollarin arvoisia lisätarvikkeita, jotka olivat helposti saatavilla aivan tavallisesta elektroniikkaliikkeestä. Tämä soti massiivisella tavalla yleistä turvallisuusalan käsitystä vastaan, jonka mukaan tämän kaltainen hyökkäys ja salakuuntelu olisi mahdollista vain erittäin hienostuneilla teknologisilla välineillä toteutettuna valtioiden välisessä korkean tason tiedustelutoiminnassa. Van Eckin tutkimuksen löydösten johdosta termi ”hajasäteily” tunnettiin aikaisemmin termillä ”van Eckin säteily”.

Mistä hajasäteilyä syntyy?

ICT-laitteet ovat nykyaikana huomattavan kehittyneitä. Esimerkiksi entisaikaan käytössä olleet kuvaputkinäytöt säteilivät huomattavasti nykyisiä LCD/LED-näyttöjä enemmän. Ilmiö on kuitenkin olemassa eikä se koske ainoastaan näyttöjä, vaan kaiken tyyppisiä ICT-laitteita.

TEMPEST-hyökkäys voi kohdistua esimerkiksi puhelimen, kopiokoneen, faksin, näppäimistön painallusten, hiirilaitteen liikkeiden ja erilaisten mikrofonien, kaiutinten, muistitikkujen, näytönohjainten, johtojen, kaapeleiden, virtalähteiden tai tulostimien toimintaa kohtaan. Liikkuvaa kuvaa esittävistä laitteista näyttöpääte ei suinkaan ole ainoa hajasäteilyä ulospäin lähettävä laite, vaan niin ikään myös erilaiset projektorit ja videotykit lähettävät lähtökohtaisesti säteilyä ulospäin.

Laitteiden huolellinen suunnittelu vähentää laitteiden lähettämien tahattomien signaaleiden määrää, mutta kaikkia signaaleita ei voida poistaa – ainakaan ilman erityisiä toimenpiteitä, jotka tähtäävät signaalien tilkitsemiseen.

TEMPEST-riskien arviointi ja pienentäminen

TEMPEST-riskien arviointi on tehtävä tyypillisesti organisaatioissa, jotka käsittelevät tai alkavat käsitellä joko valtiotason ja/tai kansainvälisen tason turvallisuusluokiteltua tietoa toiminnassaan. Tietyn luokitustason tiedon käsittelyssä TEMPEST-riskit on arvioitava ja niitä vastaan on suojauduttava.

Monessa tapauksessa turvallisuusluokiteltua tietoa käsitellään organisaatiossa erillisessä turvatilassa ja mikäli käsiteltävä tieto vaatii TEMPEST-riskin suojautumistoimenpiteitä, ratkaisuja on useita. Eräs ratkaisu on koko huoneen tai tilan rakenteellinen suojaus Faradayn häkiksi. Tämä menetelmä on sinänsä toimiva, mutta myös erittäin kallis tapa toteuttaa TEMPEST-suojaus. Monessa tapauksessa tilatason rakenteellista suojausta ei voida toteuttaa esimerkiksi vuokratilojen tai lattioiden kantavuuden vuoksi.

Toinen vaihtoehto on sijoittaa turvatila maan alle tai kallion sisään, jolloin turvatilan ympäristö tarjoaa monessa tapauksessa riittävän suojan. Harvalla organisaatiolla on kuitenkaan mahdollisuutta toimia edellä mainitulla tavalla ja nollatilanteesta lähdettäessä myös tämän vaihtoehdon kustannukset kohoavat erittäin suuriksi.

Kolmas vaihtoehto on laitetason suojaus, joka on monessa tapauksessa edullisin ja helpoin tapa suojautua TEMPEST-riskeiltä. Laitteita, jotka eivät vuoda hajasäteilyä ympärilleen kutsutaan TEMPEST-laitteiksi. TEMPEST-laitteet suojataan komponenttitasolla niin, etteivät ne lähetä hajasäteilyä ympärilleen asetettuja raja-arvoja enempää. Keskeisin standardi ja laitteiden luokitusasteikko löytyy NATO SDIP-27 -standardista. Itse standardi on salainen, mutta on yleisesti tiedossa, että EU:n TEMPEST-standardit IASP7 ja IASG7 vastaavat sisällöltään NATO:n standardeja.

NATO SDIP-27 -standardi luokittelee TEMPEST-suojatut laitteet kolmeen kategoriaan. A-luokan laitteet ovat kaikkein parhaiten suojattuja laitteita, B-luokan laitteet ovat keskitasoisesti suojattuja ja C-luokan laitteet ovat kevyesti suojattuja ollen hyvin lähellä kaupallisia COTS-laitteita.

Ovatko TEMPEST-suojaus ja murtosuojaus yhdistettävissä?

Kyllä ovat! Valmistamme ja toimitamme myös ratkaisuja, joissa on yhdistetty NATO SDIP-27 -standardin mukainen TEMPEST-suojaus ja EN 1143-1 -standardin mukainen murtosuojaus. Käytännössä ratkaisu on pienholvi, jonka sisään tulee erillinen TEMPEST-laiteräkkikaappi. Laiteräkkikaappi on varustettu pyörillä, joten sen operointi on helppoa, sillä laiteräkkikaappi voidaan vetää ulos murtosuojakuoren sisältä.

Yhdistelmäratkaisuun voit tutustua toimitiloissamme Helsingin Suutarilassa, jossa meillä on esillä sekä murtosuojakuori että TEMPEST-laiteräkkikaappi. Ota yhteyttä ja sovitaan esittelyaika!