TEMPEST 让公开的显示器规格成为捷径

公共显示器规格可以把电磁窃听中的一个阶段从大范围搜索变成范围很小的工程任务，但前提是已经有可用信号。研究人员在 2²¹ 个捕获样本上测试了 F-DLA，并估计出屏幕刷新率，用时约 0.30 秒；传统方法则需要 0.67 秒。在选举设备测试实验室中，如果这种方法在初步捕获之外仍能保持准确，评估人员就可以更快地检查显示器泄漏出的时序。

屏幕工作时可能看起来悄无声息。但随着显示器内部的电流不断切换，信号在电路和线缆中传输，设备也会发出非预期的电磁辐射。如果这种泄漏足够强且足够干净，攻击者就可以通过无线电捕获它，并用来重建屏幕显示的内容。第一步，也是困难的一步，是在一段很长的记录中找出屏幕的时序。如今，即使目标是规格公开的标准设备，这也可能意味着要在许多种可能的时序中进行搜索。

为什么屏幕的时序很重要

视频并不是作为一张连续不断的图像传输的。显示器会反复刷新图像，同时逐行、逐像素地显示组成每一帧的内容。这些重复的模式可能会在泄漏的无线电信号中留下线索。

屏幕重复显示一帧画面的速率就是刷新率，单位是赫兹。60 赫兹意味着屏幕每秒刷新约 60 次。找到这个速率，可以帮助分析人员让捕获的信号与屏幕的时序对齐。没有这种对齐，重建图像就像拼一张撕碎的照片，却不知道每条边缘应该接在哪里。

软件定义无线电可以捕获无线电频谱中选定的部分，并用软件对其进行处理。但可用信号仍然是必需的。干扰、目标硬件、信号强度，以及分析人员对齐信号的能力，都会影响屏幕图像能否被恢复。

公开规格缩小了搜索范围

论文提出了 Fast DLA，即 F-DLA，用于在视频 TEMPEST 攻击中估计帧率。TEMPEST 研究电子设备发出的非预期电磁辐射，以及这些辐射可能泄露的信息。

核心想法很简单：当显示器可能采用的设置已经已知时，就不要搜索每一种可能的时序。作者列举了巴西公开的投票机规格。规格列出 UE2013 和 UE2015 的分辨率为 1280×768，UE2020 的分辨率至少为 1280×720。对于相关分辨率，研究人员将可能的刷新率限制为四种选择：60、75、85 和 120 赫兹。

这把任务从大范围搜索变成了对少数选项的检查。论文称，基于 FFT 的传统离散线性自相关方法的复杂度为 O(N log N)。当显示器参数预先已知，且可能的刷新率和时序误差保持在界限之内时，F-DLA 的复杂度为 O(N)。用日常语言来说，捕获的数据越多，需要的工作量大致会按比例增加，而不会额外增加搜索负担。

测试使用了一台 VGA 显示器，显示分辨率为 1280×720、刷新率为 60 赫兹的电子投票机界面。研究人员使用 Ettus USRP B200 软件定义无线电和一根数字电视天线，在约 20 厘米外捕获信号。两种方法都处理了 2²¹ 个样本。它们都识别出约 60 赫兹的刷新率，但 F-DLA 用时约 0.30 秒，传统 DLA 则约为 0.67 秒。论文在图 1 中给出了自相关图，在图 2 中给出了重建的 TEMPEST 图像。

这可能带来什么变化

在选举设备测试实验室中，评估人员可以将接收器对准显示器，更快地检查其辐射是否与公开屏幕规格中列出的时序相匹配。安全测试人员在搜索信号中的这一部分时，所需时间会减少。如果攻击者已经捕获到已知标准显示器的可用信号，也会获得更快的时序估计步骤。

这并不意味着窃取屏幕图像变得容易。接收器仍然必须捕获到可用的辐射。分析人员仍然需要找到发生泄漏的频率，并重建图像。公开规格不会在完全测不到信号的地方凭空产生信号；它们只会在信号可用时减少不确定性。

这一结果仍属于初步结果。实验只使用了一次捕获，作者将对信道退化情况下的测试留待未来研究。严重的信道退化可能会打破时序误差保持有界这一假设，从而影响 F-DLA 和传统方法的估计。如果这种捷径在噪声更大、环境更加多样的情况下仍能保持准确，公开的硬件细节就会成为直接评估电磁辐射的理由，而不是让人把这些细节本身视为无害。

来源

arXiv，《Fast Frame Rate Estimation in Electromagnetic Side-Channel Attacks on Public Systems》