TEMPEST Nedir? Güvenli Ekran Standartlarını Anlamak

Giriş

Yüksek güvenlikli altyapıların dünyasında—devlet kurumlarından, savunma komuta merkezlerine ve kritik endüstriyel tesislere kadar—standart BT tedarik kuralları nadiren geçerlidir. Sistem Entegratörleri (SI’lar) ve Proje Yöneticileri, ihale belgelerinde genellikle standart tüketici spesifikasyonlarının ötesine geçen teknik kısaltmalarla karşılaşırlar.

En kritik fakat sıkça yanlış anlaşılan terimlerden biri TEMPEST‘tir.

Bir proje spesifikasyonu “TEMPEST-uyumlu donanım”, “düşük yayılımlı ekranlar” veya “SCIF-uyumlu uç noktalar” talep ettiğinde, bu ortamın gizli veya son derece hassas bilgileri işlediğini gösterir. Bu tür senaryolarda, standart bir ticari monitör yalnızca yetersiz kalmaz; aynı zamanda potansiyel bir güvenlik açığıdır.

Bu rehber, teknik profesyoneller için TEMPEST’i anlaşılır kılarak NATO SDIP-27 standartlarını, Kırmızı/Siyah ayrımını ve profesyonel ekranların elektromanyetik casusluğa karşı mücadelede neden odak noktası olduğunu inceliyor.

TEMPEST Nedir? Tehdidin Tanımı

TEMPEST, ABD Ulusal Güvenlik Ajansı (NSA) kod adı olup, Komproment Edici Yayılımlar (CEM)‘ın araştırılması ve incelenmesiyle ilgili bir NATO standardıdır.

Şu anlama gelir: Yayılımcı Yanlış İletimden Korunan Telekomünikasyon Elektroniği Malzemesi.

Sızıntının Fiziği: Ekranlar Nasıl “Konuşur”

Her aktif elektronik cihaz, çalışırken bir elektromanyetik alan (EMF) üretir.

• Sinyal: Bileşenler, verileri işlemek için hızlı voltaj değişiklikleri ve yüksek frekanslı saat sinyalleri kullanır.
• Sızıntı: Bu değişiklikler, istemeden radyo frekansı (RF) sinyallerinin havaya yayılmasına veya kablolar üzerinden iletilmesine neden olur.
• Tehdit: Gelişmiş gözetleme ekipmanları kullanan bir saldırgan, bu “sızan” sinyalleri uzaktan yakalayabilir ve orijinal verileri yeniden oluşturabilir.

Bir ekran için buna Van Eck Phreaking denir. Bir saldırgan, odaya hiç girmeden monitörünüzdeki görüntüyü teorik olarak yeniden oluşturabilir. TEMPEST standartları, yayılımların yakalama eşiğinin altında bastırılmasını sağlar.

Temel Mühendislik Kavramı: Kırmızı ve Siyah Ayrımı

TEMPEST’i bir sistem entegrasyonu bağlamında anlamak için, Sİ’lerin güvenli tesis tasarımında (örneğin SCIF’lerde) temel bir ilke olan Kırmızı/Siyah mimarisini anlaması gerekir.

• Kırmızı Bölge (Gizli): Şifrelenmemiş, hassas bilgileri işleyen ekipman. Burada sinyaller sızarsa, sırlar tehlikeye girer.
• Siyah Bölge (Gizli Olmayan): Şifrelenmiş verileri veya kamuya açık bilgileri işleyen ekipman (ör. standart internet yönlendiricileri).

Entegrasyon Zorluğu: TEMPEST mühendisliğinin amacı, “Kırmızı” sinyallerin “Siyah” hatlara bağlanmasını önlemektir. Profesyonel güvenli ekranlar, bu ayrımı cihazın içinde korumak için dahili izolasyon ve özel topraklama ile tasarlanır.

Standartların Şifresini Çözmek: NATO SDIP-27 Seviyeleri

TEMPEST, “Bölgeleme”ye göre derecelendirilir—çevrenin fiziksel güvenliği ve potansiyel bir saldırgana olan mesafe. Çoğu NATO müttefiki SDIP-27 standardını (eski adıyla AMSG 720) kullanır.

Sistem Entegratörleri için Temel Sonuç:

Seviye A sertifikalı özel donanımlar gerektirirken, Seviye B ve C ortamlarında ‘TEMPEST-ready’ profesyonel ekranlar genellikle yeterli olmaktadır. Bu cihazlar, özel üretim Seviye A sistemlerin aşırı maliyetlerine yol açmadan üstün bir ekranlama sağlar.

Neden Ekranlar “En Zayıf Halka”dır

Güvenli Bölmeli Bilgi Tesisi’nde (SCIF), monitör üç nedenden dolayı birincil bir zafiyettir:

1. Video Kablo Anteni: Yüksek bant genişliğine sahip kablolar (HDMI, DisplayPort) ham veriyi taşır. Metal bir şasiye düzgün şekilde topraklanmazsa, kablo bir anten gibi davranır.
2. Geniş Açıklıklı Yüzey: Büyük bir ekran, esasen elektromanyetik bir penceredir. Korumalı bir kutuda saklanabilen bir PC’nin aksine, bir ekran işlevsel olması için açıkta olmalıdır.
3. Sürekli Çalışma: Komuta merkezlerinde 7/24 çalışma, saldırganlara kesintisiz bir veri akışı sağlayarak dinleme ekipmanlarını kalibre etmelerine olanak tanır.

Açık: Neden FCC/CE Uyumluluğu Yeterli Değil

Yaygın bir tedarik hatası, yasal uyumluluğun (FCC/CE) güvenlik anlamına geldiğini varsaymaktır.

• EMC (FCC / CE): Birlikte Varoluş üzerine odaklanır. Gürültünün “Ses Seviyesi”nin diğer elektroniklerle etkileşime girmemesini sağlar.
• TEMPEST: Gizlilik üzerine odaklanır. Gürültü içindeki “İçeriğin” yeniden oluşturulamayacağından emin olur.

Plastik kasalı bir tüketici monitörü FCC Sınıf B’den geçebilir ve yine de otoparktaki bir alıcıya gizli veriler yayabilir.

Güvenli Bir Görüntüleme Platformu Seçmek

B veya C Seviyesi projeler için, Sİ’ler şu profesyonel mühendislik özelliklerini aramalıdır:

• Güçlendirilmiş Metal Muhafazalar: Plastik (RF’ye karşı geçirgen) yerine, metal bir Faraday Kafesi gibi davranır ve elektromanyetik dalgaları kasa içinde tutar.
• Dahili Topraklama Mimarisi: Bileşenler, rastgele RF enerjisini “boşaltmak” için kasanın birden fazla noktasına topraklanmalıdır.
• Kablosuz Bileşen Yok: Akıllı TV’ler bir risk unsurudur. Gerçek bir profesyonel güvenlik ekranı, Wi-Fi, Bluetooth veya mikrofonu olmayan “aptal” bir terminal olmalıdır.
• Tedarik Zinciri Güvenliği (NDAA): Donanımın yüksek riskli tedarikçilerden yasaklı bileşenler içermediğinden emin olunmalıdır.

Güvenli Kurulum için En İyi Uygulamalar

1. Korumalı Kablolama: Ferrit çekirdekli çift korumalı video kabloları kullanın.
2. Güç Filtrasyonu: Ekranları, sinyallerin elektrik şebekesine sızmasını önlemek için filtreli güç kaynaklarına takın.
3. Fiziksel Bölgelendirme: Kırmızı ekipman ile Siyah ekipman arasında “1 metre kuralı”na uyun.

Sonuç

TEMPEST’i anlamak, bir Sistem Entegratörünü “donanım tedarikçisi” olmaktan çıkarıp “güvenlik ortağı” yapar. Seviye A ortamları özel olsa da, güvenli projelerin çoğu Seviye B/C’nin “İyi Hijyen Güvenliği”ni gerektirir.

Metal kasalı, titiz topraklamalı ve NDAA uyumlu ekranlar seçerek, Sistem Entegratörleri güvenli tesisler için sağlam bir temel sağlar—riski azaltır ve kritik verilerin bütünlüğünü korur. Bu nedenle AG Neovo, profesyonellerin ekran tercihi olmaya devam ediyor.