Canale Occulto Temporale

Un canale occulto temporale è una sottoclasse di canale occulto in cui l'informazione non viaggia in valori memorizzati, ma nel tempo stesso. Due processi, un mittente e un destinatario, condividono una risorsa il cui uso è osservabile: una connessione di rete, un disco o un processore. Il mittente codifica il messaggio modulando il momento in cui si verificano gli eventi o la loro durata. Il destinatario osserva il flusso di eventi, misura gli intervalli e decodifica il messaggio. Nessun byte viene scritto in un punto che un altro processo legge. Il segnale esiste solo nel modello dei tempi.

Il concetto si inserisce nella storia generale dei canali occulti. Le ricerche sul problema del confinamento, all'inizio degli anni Settanta, hanno mostrato che un processo può far trapelare informazioni anche quando gli è formalmente vietato comunicare. Criteri successivi per i sistemi fidati, come il TCSEC statunitense, hanno reso obbligatoria l'analisi dei canali occulti, compresi quelli temporali, nella valutazione dei sistemi ad alta garanzia. Le valutazioni formali di solito non richiedono l'eliminazione dei canali temporali, ma la loro identificazione, la stima della banda e la riduzione della capacità dove conta.

Due proprietà distinguono questa classe. Primo, entrambe le parti hanno di norma accesso legittimo alla risorsa condivisa, quindi il normale controllo degli accessi non può chiudere il canale: la risorsa continua a svolgere il proprio compito mentre trasporta il segnale nascosto. Secondo, il rumore degrada il segnale. Ogni ritardo casuale tra mittente e destinatario, come il jitter di rete, le interruzioni di scheduling o il carico concorrente, può alterare un bit. Per questo i canali temporali sono molto più lenti di quelli di archiviazione, e i mittenti sacrificano la velocità in cambio di ridondanza.

Mittente e destinatario concordano in anticipo uno schema di codifica, poi usano un flusso di eventi condiviso come vettore. Le codifiche più comuni:

Qualsiasi flusso di eventi osservabile che due parti possono influenzare e misurare può diventare un canale temporale. Le famiglie più note:

• Traffico di rete: ritardi modulati nel traffico TCP/IP, ritmo delle query DNS o raffiche di ping. La cifratura non nasconde questo ritmo, perché i dati nascosti stanno nel tempo e non nel contenuto.
• Dispositivi di archiviazione: un processo tiene la testina del disco su una traccia e un altro misura la latenza di ricerca. È l'esempio classico della letteratura di ricerca.
• Processore e memoria: processi che condividono risorse si rallentano a vicenda in modo misurabile. Su questo si basano diversi attacchi microarchitetturali moderni.
• Flussi interattivi: intervalli di digitazione, eventi del mouse o tempi della coda di stampa. Ogni flusso con marcature temporali che un soggetto esterno può osservare può essere modulato.

Un canale occulto di archiviazione lascia tracce verificabili: un campo d'intestazione con un valore strano, un pacchetto di lunghezza insolita o un attributo di file che cambia. Un canale temporale non lascia alcun valore. Il segnale esiste solo nelle differenze tra gli istanti degli eventi, e l'ispezione del contenuto non le vede, perché il contenuto è del tutto normale.

I sistemi normali sono già pieni di variazione temporale: jitter di rete, congestione, pause umane. Un canale temporale si nasconde in questo rumore, quindi il rilevamento deve essere statistico. Bisogna costruire una baseline della distribuzione degli intervalli tra eventi e segnalare regolarità sospette o schemi improbabili. Dimostrare l'assenza di un canale temporale è praticamente impossibile. L'obiettivo realistico è mantenerne la banda molto bassa e i pattern abbastanza visibili da renderli inutili.

Banda contro discrezione è il compromesso decisivo. Un canale che trasmette bit velocemente produce un ritmo innaturale che spicca rispetto al comportamento di persone e applicazioni. Un mittente paziente, limitato a pochi bit al minuto, si confonde con la variazione di fondo, ma impiega giorni per trasferire un file significativo. I difensori sfruttano lo stesso compromesso: limiti di frequenza e rumore aggiunto costringono il mittente al regime lento, mentre baseline e rilevamento delle anomalie rendono più costoso quello veloce.

Poiché il vettore è attività legittima, le contromisure combinano l'osservazione statistica con misure che degradano il canale stesso:

• Analisi statistica del traffico: individua regolarità da metronomo che gli utenti reali non producono.
• Rilevamento di anomalie comportamentali: le baseline per utente catturano le deviazioni persistenti dei trasferimenti lenti.
• Limitazione della frequenza: riduce la frequenza degli eventi e rende lenti i trasferimenti grandi.
• Controlli di rumore e scheduling: lo scheduling casuale rende più difficile al destinatario leggere il segnale.
• Riduzione dei percorsi condivisi: le liste di autorizzazione e il filtraggio in uscita rimuovono le risorse usate dal canale.

Le regole statistiche della funzionalità di rilevamento delle minacce interne lavorano sullo stesso tipo di eventi registrati. La console dell'amministratore può raggruppare i pacchetti di rete inviati in intervalli da un secondo a dieci minuti, così una breve raffica risalta rispetto a una baseline tranquilla.

Inizia dai canali che potrebbero trasportare un ritmo nascosto: flussi di rete, di archiviazione e interattivi. Le baseline hanno bisogno di un periodo di attività normale per apprendere, quindi configurale prima di un incidente e non dopo.

Di solito lo usa qualcuno che è già dentro: una minaccia interna con accesso legittimo. Per questo il monitoraggio deve coprire i canali che le persone usano davvero.

Per approfondire: Fuga tecnica di informazioni: cos'è e come proteggersi?.