Mordechai Guri, Boris Zadov, Andrey Daidakulov, Yuval Elovici. ODINI: Escaping Sensitive Data from Faraday-Caged, Air-Gapped Computers via Magnetic Fields. IEEE Transactions on Information Forensics and Security, 2019

Здесь рассказывается о вредоносной программе под кодовым названием "ODINI", которая может управлять низкочастотными магнитными полями, излучаемыми зараженным компьютером, регулируя нагрузку на ядра процессора. Внедряется прототип вредоносного ПО и обсуждаются конструктивные соображения, а также детали реализации. Способ утечки: злоумышленники могут обойти системы безопасности и закрепиться в сетях с воздушным зазором. Излучающими компонентами могут быть кабели связи, компьютерные шины и аппаратные периферийные устройства.

Способ защиты: Чтобы справиться с электромагнитной утечкой, высокочувствительное оборудование может быть помещено в металлические корпуса, известные как экранирование Фарадея или клетки Фарадея. Клетка Фарадея изготовлена из проводящего материала (например, проволочной сетки или металлических пластин), который защищает область внутри клетки от внешних электрических полей. В контексте защиты чувствительного оборудования экраны Фарадея используются для блокирования электромагнитных волн от 1) утечки из экранированной области или 2) проникновения в нее. Самый простой случай экранирования Фарадея - это когда оно реализовано в компьютерных кабелях (например, в кабелях Ethernet, USB и HDMI) для ограничения их электромагнитного излучения. Экран Фарадея - это тип небольшого ограждения, которое может быть развернуто для защиты целых систем, таких как настольные компьютеры и экраны дисплеев, но они также могут использоваться для защиты целых помещений и даже зданий. Экранирование Фарадея делает большинство скрытых каналов с воздушным зазором неэффективными, поскольку оно предотвращает утечку электромагнитных сигналов наружу к злоумышленнику.

Здесь освещаются следующие аспекты: 1) Просачивается сквозь экранирование Фарадея. Мы вводим скрытый канал, который может избежать изоляции Фарадея. То есть он может работать в высокозащищенных системах, которые хранятся в клетках Фарадея, где другие типы скрытых электромагнитных каналов выходят из строя. Насколько нам известно, это первая работа, в которой обсуждается тема клеток Фарадея и их уклонения с использованием скрытых каналов.

2) Скрытый канал с воздушным зазором.Канал связи, который мы представляем, представляет собой скрытый канал с воздушным зазором. То есть, независимо от его способности обходить защиту Фарадея, он способен передавать данные с отключенных компьютеров с воздушным зазором.

3) Обход изоляции виртуальной машины (VM).Виртуальные машины часто используются в качестве меры безопасности для добавления уровня изоляции между виртуальной машиной и внешней средой. Мы показываем, что скрытый канал работает, даже когда вредоносный код выполняется на "виртуализированном" оборудовании в изолированной виртуальной машине.

Атака. Модель состязательной атаки требует запуска вредоносного кода на целевом компьютере. Кроме того, должен также быть магнитный приемник, скрытый или расположенный рядом с целевой системой (это может принимать форму злоумышленника или инсайдера, физически переносящего приемник рядом с целевой системой). Сама атака состоит из двух фаз. Предварительная фаза, которая включает заражение системы, и активная фаза, которая включает эксфильтрацию данных.

Также есть интересная информация о классификации скрытых каналов вообще. Каррара и Адамс проводят тщательный обзор этих скрытых каналов. Они подразделяются на электромагнитные, акустические, оптические, тепловые, магнитные и сейсмические скрытые каналы. Более подробно на страницах 2-3 статьи.

А здесь из текста понятно какие источник, принцип приема и т.д.?

Магнитные поля создаются, когда ток течет по прямому проводу, и распространяются в пространстве со скоростью света. Магнитное поле в данной точке определяется его направлением и напряженностью и математически представлено векторным полем. Международной системной единицей измерения напряженности магнитных полей является тесла (T). Одна тесла определяется как напряженность поля, генерирующего один ньютон (N) силы на ампер (A) тока на метр проводника. На практике, магнитное поле в один тесла очень сильное, и магнитные поля обычно измеряются в единицах миллитесла (1мТ = 10−3Т) или микротесла (1 мкТ = 10−6Т). Ампера Закон показывает, что напряженность магнитного поля вокруг электрического тока пропорциональна электрическому току. Напряженность магнитного поля пропорциональна третьей степени расстояния от центра провода [55]. Более конкретно, уравнение плотности магнитного потока показывает, что быстрое затухание магнитного поля пропорционально обратной третьей степени расстояния от источника: B(r) =∇× A = μ0 4π 3r(m ·r) |r| 5 − м |р/ 3

(1) где B - напряженность магнитного поля в теслах, а r - расстояние от источника. Другими параметрами являются магнитный потенциал (A), магнитная проницаемость (μ0) и магнитный момент (m). Обратите внимание, что научный обзор уравнения плотности магнитного потока выходит за рамки данной статьи, и мы отсылаем заинтересованного читателя к учебникам , посвященным электромагнетизму [56]. Как видно из уравнения 1, основным недостатком магнитного поля является его быстрое затухание, которое ограничивает расстояние магнитной связи по сравнению с расстоянием электромагнитной связи [56]. На практике магнитные поля в основном используются для установления беспроводной связи малой дальности между близлежащими устройствами, метод, обычно называемый связью с магнитной индукцией ближнего поля

для передачи сигнала на частоте 100 кГц потребовалась бы антенна длиной более трех километров. Магнитные волны, с другой стороны, не зависят от длины антенны и, следовательно, обеспечивают практическую альтернативу беспроводной связи на низких частотах. В частности, низкочастотные магнитные волны могут распространяться через плотные среды, такие как металл, бетон и почва [48], [55]. В предлагаемом скрытом канале мы генерируем магнитные поля на частотах ниже 50 Гц. Известно , что магнитные поля очень низкой частоты имеют низкий импеданс и их трудно блокировать металлическим экранированием, поскольку это потребовались бы очень толстые металлические поверхности [59]. На рисунке 2 мы показываем ослабление магнитного поля (уменьшение величины напряженности магнитного поля) при наличии кубического металлического экрана, основываясь на формулах приближения экранирования [60]. Ослабление поля измеряется в децибелах (дБ) и равно 20 log E1 E2 , где E1 - напряженность поля, генерируемого на одной стороне экрана, а E2 - напряженность поля, принимаемая на другой стороне экрана. Мы рассчитали эффективность корпусов из кубического металла толщиной от 0,5 мм до 3 мм в блокирующие магнитные поля на частотах ниже 1000 Гц. Как можно видеть, даже толстые металлические экраны неэффективны для очень низких частот (< 50 Гц), поскольку магнитное затухание составляет не более 5 дБ .

Напряженность магнитного поля быстро уменьшается, обратно пропорционально третьей степени расстояния от магнитного источника. На рисунке 9 и в таблице III показана сила магнитных сигналов, измеренная на различных расстояниях от пяти передатчиков. Обратите внимание, что на рисунке 9 показано магнитное поле в логарифмическом масштабе. Используя датчик HMR3200, магнитные сигналы принимались на максимальном расстоянии 50 см для ноутбука, 100 см для настольных ПК и ПК малого форм-фактора и 150 см для сервера. Учитывая разрешение датчика HMR2300 и отношение сигнал/шум (SNR), мы остановили измерения при мощности поля 10-2 мТл. Обратите внимание, что можно увеличить дальность приема с помощью более чувствительных типов магнитных датчиков (например, [68]). Мы оставили это направление исследований для будущей работы в этой области.

Результаты, представленные в таблице IV, показывают, что на расстоянии до 100 см эффективная скорость передачи составляет 1 бит/сек для трех компьютеров с максимальным BER 10%. Более высокие скорости передачи 10 бит/с и 40 бит/с возможны только в том случае, если датчик находился в непосредственной близости (на расстоянии 5-20 см ) от передающего компьютера. Обратите внимание, что можно увеличить расстояние за счет дальнейшего снижения скорости передачи . Однако для оценки мы рассматриваем скорость передачи 1 бит/сек как минимальный битрейт, оправдывающий эту атаку модель. На рисунке 12 показаны формы сигналов переданного ключа (‘10101110110101010110...’), закодированный в OOK, переданный с серверного компьютера во время измерений BER. Данные передавались со скоростью 5 бит/сек и принимались на расстояниях 50 см, 75 см и 150 см с SNR 10 дБ, 8 дБ и 4,4 дБ соответственно.

Первый сигнал был сгенерирован с главного компьютера, а второй сигнал был сгенерирован изнутри виртуальной машины. Приемник находился в 30 см от передающего компьютера. Оба сигнала отображают передачу случайной последовательности битов в течение 30 секунд. И гость, и хост работали под управлением 64-разрядной версии Linux Ubuntu 16.04. Мы использовали VMware Workstation Player 14.0 для виртуализации и настроенный хост-машина для поддержки четырех процессоров центрального процессора. Как можно видеть, магнитный сигнал, генерируемый виртуальной машиной, сильно коррелирует с магнитным сигналом, генерируемым непосредственно с главного компьютера, оба имеют SNR 15 дБ. Мы повторили этот тест 20 раз, каждый раз со случайной последовательностью битов, и получили одни и те же результаты.

Добавил статью к каналу утечки телекоммуникационной информации за счет программного управления компонентами основных технических средств и систем и побочных электромагнитных излучений с приемом информации бесконтактно из диэлектрической воздушной среды. В дальнейшем все-таки потребуется разобрать ее снова и сделать саммари без прямого перевода

almkuznetsov / bmstu-kb

Mordechai Guri, Boris Zadov, Andrey Daidakulov, Yuval Elovici. ODINI: Escaping Sensitive Data from Faraday-Caged, Air-Gapped Computers via Magnetic Fields. IEEE Transactions on Information Forensics and Security, 2019 #55