TEMPESTで公開ディスプレー仕様が近道になる

公開されているディスプレー仕様は、電磁波盗聴の一段階を広範な探索から狭いエンジニアリング作業に変えられる。ただし、利用可能な信号がすでに得られている場合に限られる。研究者は2²¹個の取得サンプルでF-DLAをテストし、画面のリフレッシュレートを約0.30秒で推定した。従来の手法では0.67秒かかった。選挙機器のテストラボでは、この手法が今回の予備的な取得を超えても正確であれば、評価担当者はディスプレーから漏れたタイミングをより速く確認できる。

画面は動作中でも静かに見えることがある。しかし、ディスプレー内部で電流が切り替わり、信号が回路やケーブルを通ると、機器は意図しない電磁放射も発する。その漏えいが十分に強く、きれいであれば、攻撃者は電波でそれを取得し、表示された内容を再構築できる。最初の難しい段階は、長い記録の中から画面のタイミングを見つけることだ。現在の方法では、対象が仕様を公開している標準的な機器であっても、多くの候補となるタイミングを探索しなければならない場合がある。

画面のタイミングが重要な理由

映像は途切れない1枚の画像として送られるわけではない。ディスプレーは画像を繰り返し更新しながら、各フレームを構成する行や画素も順に処理する。こうした繰り返しパターンは、漏えいした電波信号に手がかりを残すことがある。

画面がフレームを繰り返す速度がリフレッシュレートで、ヘルツで測定する。60ヘルツなら、画面は毎秒約60回更新される。このレートを見つけると、分析担当者は取得した信号を画面のタイミングに合わせられる。その同期がなければ、画像の再構築は、切り取られた写真のどの部分がどの端に当たるのか分からないまま、写真をつなぎ合わせようとするようなものだ。

ソフトウェア無線は、電波スペクトルの選択した部分を取得し、ソフトウェアで処理できる。しかし、利用可能な信号は依然として必要だ。干渉、対象となるハードウェア、信号強度、そして分析担当者が信号を同期させる能力のすべてが、画面画像を復元できるかどうかに影響する。

公開仕様で探索範囲を狭める

この論文は、映像TEMPEST攻撃でフレームレートを推定するFast DLA、すなわちF-DLAを提案している。TEMPESTは、電子機器から意図せず放射される電磁波と、そこから何が明らかになる可能性があるかを研究する分野だ。

重要な考え方は単純だ。ディスプレーの予想される設定がすでに分かっているなら、考えられるすべてのタイミングを探索しない。著者らは、ブラジルの投票機に関する公開仕様を示している。UE2013とUE2015には1280×768、UE2020には少なくとも1280×720の解像度が記載されている。該当する解像度について、研究者は候補となるリフレッシュレートを60、75、85、120ヘルツの4つに絞っている。

これにより、作業は広範な探索から少数のチェックへと変わる。論文によると、従来のFFTベースの離散線形自己相関法はO(N log N)の計算量を持つ。F-DLAは、ディスプレーのパラメーターが事前に分かっており、候補となるリフレッシュレートとタイミング誤差が一定の範囲内に収まる場合、O(N)の計算量となる。日常的な言い方をすれば、取得するデータが増えると作業量もおおむね比例して増えるが、探索の負担が余分に加わることはないということだ。

テストでは、1280×720、60ヘルツで電子投票機のインターフェースを表示したVGAモニターを使った。Ettus USRP B200ソフトウェア無線とデジタルテレビ用アンテナで、約20センチ離れた位置から信号を取得した。両方の手法で2²¹個のサンプルを処理した。どちらも約60ヘルツのリフレッシュレートを特定したが、F-DLAにかかった時間は約0.30秒で、従来のDLAでは約0.67秒だった。論文には、自己相関のプロットが図1に、再構築されたTEMPEST画像が図2に掲載されている。

これによって何が変わるか

選挙機器のテストラボでは、評価担当者がディスプレーに受信機を向け、そこから放射された信号が公開されている画面仕様のタイミングと一致するかどうかを、より速く確認できる。セキュリティーテスターは、信号のその一部分を探す時間を短縮できる。既知で標準化されたディスプレーの使える取得信号をすでに持っている攻撃者も、タイミング推定の段階を速められる。

だからといって、画面画像を簡単に盗めるようになるわけではない。受信機は依然として、使える放射信号を取得しなければならない。分析担当者は、漏えいしている周波数を見つけ、画像を再構築しなければならない。公開仕様は、測定できる信号がない場所に信号を生み出すものではない。信号が得られる場合に、不確実性を減らすだけだ。

この結果は予備的なものだ。実験で使われた取得は1回であり、著者らは劣化した通信路でのテストを今後の課題として残している。通信路が大きく劣化すると、タイミング誤差が一定範囲内に収まるという前提が崩れ、F-DLAと従来の手法の両方で推定が損なわれる可能性がある。この近道が、よりノイズの多く、さらに多様な環境でも正確であり続けるなら、公開されたハードウェアの詳細は、それ自体を無害なものとして扱うのではなく、電磁波の放射を直接評価する理由になる。

Sources

arXiv, “Fast Frame Rate Estimation in Electromagnetic Side-Channel Attacks on Public Systems”