Κρυφό Χρονικό Κανάλι

Ένα κρυφό χρονικό κανάλι είναι υποκατηγορία του κρυφού καναλιού, στην οποία η πληροφορία δεν μεταφέρεται σε αποθηκευμένες τιμές αλλά στον ίδιο τον χρόνο. Δύο διεργασίες, ένας αποστολέας και ένας παραλήπτης, μοιράζονται έναν πόρο του οποίου η χρήση είναι παρατηρήσιμη: μια σύνδεση δικτύου, έναν δίσκο ή έναν επεξεργαστή. Ο αποστολέας κωδικοποιεί το μήνυμα αλλάζοντας πότε συμβαίνουν τα γεγονότα ή πόσο διαρκούν. Ο παραλήπτης παρακολουθεί τη ροή γεγονότων, μετρά τα διαστήματα και αποκωδικοποιεί το μήνυμα. Κανένα byte δεν γράφεται σε σημείο που διαβάζει άλλη διεργασία. Το σήμα υπάρχει μόνο στο μοτίβο των χρονισμών.

Η έννοια ακολουθεί τη γενική ιστορία των κρυφών καναλιών. Η έρευνα για το πρόβλημα του περιορισμού (confinement) στις αρχές της δεκαετίας του 1970 έδειξε ότι μια διεργασία μπορεί να διαρρεύσει πληροφορίες ακόμη και όταν της απαγορεύεται τυπικά η επικοινωνία. Αργότερα, κριτήρια αξιόπιστων συστημάτων, όπως το αμερικανικό TCSEC, έκαναν την ανάλυση κρυφών καναλιών, συμπεριλαμβανομένων των χρονικών, υποχρεωτικό μέρος της αξιολόγησης συστημάτων υψηλής εγγύησης. Οι επίσημες αξιολογήσεις συνήθως δεν απαιτούν την εξάλειψη των χρονικών καναλιών, αλλά τον εντοπισμό τους, την εκτίμηση του εύρους ζώνης και τη μείωση της χωρητικότητας όπου έχει σημασία.

Δύο ιδιότητες κάνουν αυτή την κατηγορία ξεχωριστή. Πρώτον, και οι δύο πλευρές έχουν συνήθως νόμιμη πρόσβαση στον κοινόχρηστο πόρο, οπότε ο συνηθισμένος έλεγχος πρόσβασης δεν μπορεί να κλείσει το κανάλι. Ο πόρος συνεχίζει να εκτελεί τη λειτουργία του ενώ μεταφέρει το κρυφό σήμα. Δεύτερον, ο θόρυβος υποβαθμίζει το σήμα. Κάθε τυχαία καθυστέρηση μεταξύ αποστολέα και παραλήπτη, όπως το jitter του δικτύου, οι διακοπές του προγραμματισμού ή το ταυτόχρονο φορτίο, μπορεί να αλλοιώσει ένα bit. Γι' αυτό τα χρονικά κανάλια είναι πολύ πιο αργά από τα κανάλια αποθήκευσης, και οι αποστολείς θυσιάζουν ταχύτητα για πλεονασμό.

Ο αποστολέας και ο παραλήπτης συμφωνούν εκ των προτέρων σε ένα σχήμα κωδικοποίησης και στη συνέχεια χρησιμοποιούν μια κοινή ροή γεγονότων ως φορέα. Οι συνηθέστερες κωδικοποιήσεις:

Κάθε παρατηρήσιμη ροή γεγονότων που δύο πλευρές μπορούν να επηρεάσουν και να μετρήσουν μπορεί να γίνει χρονικό κανάλι. Οι πιο γνωστές οικογένειες:

• Κίνηση δικτύου: διαμορφωμένες καθυστερήσεις σε κίνηση TCP/IP, ρυθμός ερωτημάτων DNS ή ριπές ping. Η κρυπτογράφηση δεν κρύβει αυτόν τον ρυθμό, επειδή τα κρυφά δεδομένα βρίσκονται στον χρόνο και όχι στο περιεχόμενο.
• Συσκευές αποθήκευσης: μια διεργασία κρατά την κεφαλή του δίσκου πάνω σε μια τροχιά και μια άλλη μετρά την καθυστέρηση αναζήτησης. Είναι το κλασικό παράδειγμα της ερευνητικής βιβλιογραφίας.
• Επεξεργαστής και μνήμη: διεργασίες που μοιράζονται πόρους επιβραδύνουν η μία την άλλη με μετρήσιμο τρόπο. Πάνω σε αυτό βασίζονται αρκετές σύγχρονες μικροαρχιτεκτονικές επιθέσεις.
• Διαδραστικές ροές: διαστήματα πληκτρολόγησης, γεγονότα ποντικιού ή χρόνοι της ουράς εκτύπωσης. Κάθε ροή με χρονικές σφραγίδες που μπορεί να παρατηρήσει και εξωτερικός παρατηρητής μπορεί να διαμορφωθεί.

Ένα κρυφό κανάλι αποθήκευσης αφήνει στοιχεία που μπορούν να ελεγχθούν: ένα πεδίο κεφαλίδας με περίεργη τιμή, ένα πακέτο ασυνήθιστου μήκους ή ένα χαρακτηριστικό αρχείου που αλλάζει. Ένα χρονικό κανάλι δεν αφήνει καμία τιμή. Το σήμα υπάρχει μόνο στις διαφορές μεταξύ των χρόνων των γεγονότων, και η επιθεώρηση του περιεχομένου δεν τις βλέπει, επειδή το ίδιο το περιεχόμενο είναι απολύτως φυσιολογικό.

Τα κανονικά συστήματα έχουν ήδη πολλή χρονική διακύμανση: jitter δικτύου, συμφόρηση, ανθρώπινες παύσεις. Ένα χρονικό κανάλι κρύβεται μέσα σε αυτόν τον θόρυβο, οπότε η ανίχνευση πρέπει να είναι στατιστική. Πρέπει να οριστεί μια βασική γραμμή για την κατανομή των διαστημάτων μεταξύ γεγονότων και να σημαίνονται ύποπτες κανονικότητες ή απίθανα μοτίβα. Η απόδειξη ότι ένα χρονικό κανάλι δεν υπάρχει είναι πρακτικά αδύνατη. Ο ρεαλιστικός στόχος είναι να διατηρηθεί το εύρος ζώνης του πολύ χαμηλό και τα μοτίβα του αρκετά ορατά ώστε να μην είναι χρήσιμα.

Το εύρος ζώνης και η διακριτικότητα αποτελούν τον καθοριστικό συμβιβασμό. Ένα κανάλι που στέλνει bits γρήγορα παράγει έναν αφύσικο ρυθμό που ξεχωρίζει από τη συμπεριφορά ανθρώπων και εφαρμογών. Ένας υπομονετικός αποστολέας, περιορισμένος σε λίγα bits το λεπτό, ενσωματώνεται στη διακύμανση του υποβάθρου, αλλά χρειάζεται μέρες για να μεταφέρει ένα ουσιαστικό αρχείο. Οι αμυνόμενοι εκμεταλλεύονται τον ίδιο συμβιβασμό: τα όρια ρυθμού και ο προστιθέμενος θόρυβος αναγκάζουν τον αποστολέα στο αργό καθεστώς, ενώ οι βασικές γραμμές και η ανίχνευση ανωμαλιών αυξάνουν το κόστος του γρήγορου.

Επειδή ο φορέας είναι νόμιμη δραστηριότητα, τα αντίμετρα συνδυάζουν στατιστική παρατήρηση με μέτρα που υποβαθμίζουν το ίδιο το κανάλι:

• Στατιστική ανάλυση κίνησης: εντοπίζει κανονικότητα τύπου μετρονόμου που δεν παράγουν πραγματικοί χρήστες.
• Ανίχνευση συμπεριφορικών ανωμαλιών: τα βασικά προφίλ ανά χρήστη εντοπίζουν παρατεταμένες αποκλίσεις από αργές μεταφορές.
• Περιορισμός ρυθμού: περιορίζει τη συχνότητα των γεγονότων και καθιστά αργές τις μεγάλες μεταφορές.
• Έλεγχοι θορύβου και προγραμματισμού: ο τυχαίος προγραμματισμός δυσκολεύει τον παραλήπτη να μετρήσει το σήμα.
• Μείωση κοινόχρηστων διαδρομών: οι λίστες επιτρεπόμενων και το φιλτράρισμα εξόδου αφαιρούν τους πόρους που χρειάζεται το κανάλι.

Οι στατιστικοί κανόνες της λειτουργίας Ανίχνευσης Εσωτερικών Απειλών δουλεύουν πάνω στο ίδιο είδος καταγεγραμμένων γεγονότων. Η κονσόλα διαχειριστή μπορεί να ομαδοποιεί τα απεσταλμένα πακέτα δικτύου σε διαστήματα από ένα δευτερόλεπτο έως δέκα λεπτά, ώστε μια σύντομη έκρηξη να ξεχωρίζει από ένα ήσυχο υπόβαθρο.

Ξεκινήστε από τα κανάλια που θα μπορούσαν να μεταφέρουν έναν κρυφό ρυθμό: ροές δικτύου, αποθήκευσης και διαδραστικές ροές. Οι βασικές γραμμές χρειάζονται μια περίοδο κανονικής δραστηριότητας για να μάθουν, γι' αυτό ρυθμίστε τις πριν από ένα συμβάν και όχι μετά.

Συνήθως το χρησιμοποιεί κάποιος που βρίσκεται ήδη μέσα: μια εσωτερική απειλή με νόμιμη πρόσβαση. Γι' αυτό η παρακολούθηση πρέπει να καλύπτει τα κανάλια που πραγματικά χρησιμοποιούν οι άνθρωποι.

Περισσότερα: Τεχνική διαρροή πληροφοριών: τι είναι και πώς να προστατευτείτε;.