TEMPEST

Emissioni compromettenti

Qualsiasi apparecchiatura che elabora informazioni elettricamente può generare emissioni non intenzionali correlate ai dati trattati. Il fenomeno è riconducibile al funzionamento dei componenti elettronici ed elettromeccanici, quali commutatori, contatti, relè, circuiti integrati e conduttori.

Le emissioni possono propagarsi nello spazio libero oppure essere indotte su elementi conduttori vicini, quali cavi di segnale, linee di alimentazione, linee telefoniche e tubazioni metalliche. In determinate condizioni, i segnali possono propagarsi lungo tali elementi e raggiungere punti distanti dalla sorgente.

Se un soggetto non autorizzato riesce a intercettare e analizzare queste emissioni, può ricavare informazioni sui dati elaborati dal dispositivo. Il fenomeno riguarda potenzialmente qualsiasi apparecchiatura di elaborazione delle informazioni, come telescriventi, fax, computer e sistemi di comunicazione, ma assume particolare rilevanza per gli apparati crittografici, poiché le emissioni possono essere correlate non soltanto al testo in chiaro, ma anche al funzionamento interno dei dispositivi e ai processi di elaborazione delle chiavi.

Le principali tipologie di emissioni compromettenti individuate dalla ricerca sono:

• emissioni elettromagnetiche radiate: campi elettrici e magnetici irradiati nello spazio circostante, potenzialmente correlati ai segnali digitali elaborati;
• emissioni condotte: segnali che si propagano attraverso cavi di alimentazione, linee di segnale e altri collegamenti elettrici;
• modulazione della linea di alimentazione: variazioni del consumo elettrico di un apparato correlate alle operazioni eseguite. Il fenomeno fu osservato, ad esempio, nelle macchine crittografiche a rotori, il cui assorbimento variava in funzione del numero di rotori in movimento;
• emissioni acustiche e vibrazionali: suoni e vibrazioni prodotti dai componenti meccanici ed elettronici, come quelli generati dalla pressione dei tasti di una tastiera. È stato dimostrato che il sensore di movimento di uno smartphone collocato vicino a una tastiera può registrare le vibrazioni prodotte dalla digitazione e consentire di ricostruire i caratteri premuti;
• emissioni ottiche: variazioni della luminosità di indicatori luminosi, come i LED, o di altri elementi visivi, che possono essere correlate ai dati trasmessi o elaborati.

La possibilità concreta di intercettare e decodificare tali segnali dipende da diversi fattori, tra cui l'intensità dell'emissione, la distanza dalla sorgente, il rumore elettromagnetico o acustico dell'ambiente, le caratteristiche costruttive del dispositivo e le capacità tecniche dell'apparato di ricezione.

Attacchi side-channel

Le emissioni compromettenti costituiscono una delle possibili manifestazioni degli attacchi side-channel, nei quali un soggetto non autorizzato ricava informazioni da caratteristiche fisiche o comportamentali di un sistema, anziché sfruttarne direttamente le vulnerabilità logiche o crittografiche.

In questo contesto, l'analisi delle emissioni elettromagnetiche e dei consumi elettrici può consentire di individuare correlazioni tra i segnali fisici prodotti da un dispositivo e le operazioni eseguite al suo interno. Tali correlazioni possono essere utilizzate, in determinate condizioni, per ricavare informazioni riservate o compromettere la sicurezza di un sistema crittografico.

Le origini (1943-1960)

Secondo la ricostruzione della National Security Agency (NSA), il fenomeno fu osservato durante la seconda guerra mondiale nei laboratori della Bell Telephone. Per proteggere le comunicazioni telescriventi dell'esercito e della marina statunitensi veniva utilizzato un dispositivo di miscelazione, il 131-B2, che combinava il segnale da cifrare con una sequenza crittografica generata mediante nastri monouso. Il sistema era noto come SIGTOT.

Il dispositivo utilizzava relè elettromeccanici per eseguire le operazioni di elaborazione. Un ricercatore notò che a ogni operazione della macchina corrispondeva un impulso rilevabile su un oscilloscopio collocato in una zona distante del laboratorio. Analizzando il segnale, riuscì a ricostruire il testo in chiaro che il dispositivo stava cifrando.

I tecnici della Bell informarono il Signal Corps dell'esercito statunitense, dove inizialmente vi fu scetticismo sulla possibilità di sfruttare il fenomeno in condizioni operative. Per dimostrarne la concreta pericolosità, furono effettuate prove in un edificio di Varick Street, a New York, a circa 80 piedi (24 metri) dal centro crittografico del Signal Corps. Dopo circa un'ora di registrazioni e alcune ore di elaborazione, i ricercatori riuscirono a ricostruire circa il 75% del testo in chiaro che era stato elaborato dal dispositivo.

La Bell individuò tre principali fenomeni: emissioni irradiate, emissioni condotte sui collegamenti elettrici e segnali magnetici. Furono proposte tre categorie di contromisure: schermatura, filtraggio e mascheramento.

L'azienda sviluppò una versione modificata del dispositivo, denominata 131-A-1, dotata di schermature e filtri. La soluzione fu tuttavia giudicata poco praticabile, poiché l'incapsulamento necessario causava problemi di dissipazione del calore e rendeva difficili la manutenzione e l'utilizzo dell'apparato. In alternativa, i comandanti furono invitati a controllare una zona di circa 100 piedi (30 metri) attorno ai centri di comunicazione.

Dopo la guerra il problema fu in gran parte dimenticato, fino a quando nel 1951 la CIA lo riscoprì lavorando sullo stesso apparato. In quell'occasione fu possibile recuperare il testo in chiaro intercettando i segnali presenti sulla linea di collegamento, a una distanza di circa un quarto di miglio.

Furono sviluppati filtri per le linee di alimentazione e di segnale. Per quanto riguarda le emissioni irradiate, un documento dell'Armed Forces Security Agency (AFSA), predecessore della NSA, impose alle attività di intelligence dei segnali di adottare una delle seguenti misure: controllare una zona di 200 piedi (circa 61 metri) attorno ai centri crittografici, utilizzare contemporaneamente almeno dieci telescriventi per mascherare i segnali oppure ottenere una deroga per specifiche necessità operative. La NSA precisò che il valore di 200 piedi era stato scelto sulla base delle possibilità operative delle installazioni e non rappresentava una soglia tecnica oltre la quale l'intercettazione fosse impossibile.

Negli anni successivi, l'analisi di ulteriori apparecchiature rivelò che numerose macchine crittografiche irradiavano segnali correlati alle operazioni eseguite. Furono individuate nuove forme di emissione, tra cui le variazioni dell'assorbimento elettrico e le emissioni acustiche.

Nel 1955 numerose tecniche di soppressione erano già state sperimentate, ma con risultati limitati. La scoperta di nuove vulnerabilità procedeva più rapidamente dello sviluppo delle contromisure.

Il lavoro di separazione tra i circuiti che trasportavano informazioni in chiaro e quelli collegati all'esterno diede origine a quello che sarebbe stato successivamente denominato concetto RED/BLACK.

Le prime direttive (anni 1950-1960)

Un primo documento congiunto, noto come NAG-1, fu elaborato nel 1958 e stabilì criteri di protezione e limiti di radiazione per apparecchiature e installazioni. Il documento fu adottato nel 1959 anche da Canada e Regno Unito.

La crescente diffusione dei sistemi informatici introdusse ulteriori problematiche. Terminali, periferiche e, successivamente, monitor a tubo a raggi catodici si rivelarono sorgenti di emissioni potenzialmente compromettenti.

Nel 1964 la scoperta di numerosi microfoni occultati presso installazioni diplomatiche statunitensi, tra cui l'ambasciata a Mosca, contribuì ad accrescere l'attenzione verso le minacce acustiche e la necessità di proteggere gli ambienti destinati alla gestione di informazioni riservate.

Un altro episodio, citato nella documentazione storica della NSA, riguarda il ritrovamento nel 1962 di un'antenna a dipolo occultata nei pressi di un centro crittografico statunitense in Giappone. L'antenna fu individuata da un ufficiale statunitense e scomparve il giorno successivo.

La direttiva del Dipartimento della difesa statunitense 5200.19, coordinata con ventidue agenzie, fu firmata nel dicembre 1964 dal segretario alla difesa Robert McNamara. La sua attuazione da parte della NSA divenne formale nel giugno 1966.

Evoluzione degli standard

Le prescrizioni statunitensi si sono succedute nel tempo con denominazioni differenti. Tra i principali documenti storici si ricordano:

• NAG-1, elaborato nel 1958;
• FS222, utilizzato negli anni sessanta;
• la serie NACSEM 5100, sviluppata negli anni settanta;
• NACSIM 5100A, negli anni ottanta;
• NSTISSAM TEMPEST/1-92 e NSTISSAM TEMPEST/2-95, negli anni novanta.

Tali documenti hanno contribuito a definire progressivamente i requisiti di sicurezza delle apparecchiature, le procedure di prova e le modalità di installazione dei sistemi che trattano informazioni classificate.

Nel 1985 la ricerca civile ebbe una svolta con la pubblicazione dell'articolo di Wim van Eck, che dimostrò pubblicamente la possibilità di ricostruire le immagini visualizzate da un monitor attraverso l'analisi delle emissioni elettromagnetiche.

Nel dicembre 2000 fu resa disponibile una versione pubblica, con parti omesse, del manuale introduttivo NACSIM 5000 – Tempest Fundamentals.

Standard statunitensi e NATO

La maggior parte delle specifiche tecniche TEMPEST è classificata o soggetta a restrizioni di diffusione. Alcuni criteri generali di valutazione e protezione sono tuttavia pubblicamente documentati.

Gli standard statunitensi e NATO hanno storicamente previsto tre livelli di prova per le apparecchiature, correlati alle condizioni di sicurezza e alla zonizzazione degli ambienti in cui esse vengono installate.

Le denominazioni storiche e le corrispondenze generalmente riportate nelle fonti pubbliche sono le seguenti:

Le distanze indicate costituiscono valori descrittivi associati alle precedenti classificazioni e non devono essere interpretate come soglie universali di sicurezza. La valutazione effettiva dipende dalle caratteristiche dell'edificio, dall'attenuazione delle strutture e dalle procedure di zonizzazione applicabili.

In ambito NATO, i principali documenti di riferimento pubblicamente identificati comprendono:

• SDIP-27: requisiti TEMPEST e procedure di valutazione delle apparecchiature;
• SDIP-28: procedure di zonizzazione degli ambienti;
• SDIP-29: requisiti di installazione delle apparecchiature elettriche destinate al trattamento di informazioni classificate.

Le versioni attualmente indicate dal catalogo NATO per i primi due documenti sono SDIP-27/3 e SDIP-28/3, entrambe datate 24 novembre 2024.

Le procedure di zonizzazione consentono di classificare gli ambienti di un'installazione protetta in funzione dell'attenuazione delle emissioni e delle condizioni di esposizione a potenziali intercettazioni. La classificazione dell'ambiente concorre a determinare i requisiti di protezione delle apparecchiature che vi vengono installate.

Requisiti di schermatura

La schermatura elettromagnetica costituisce una delle principali misure di protezione contro le emissioni compromettenti. L'efficacia di una schermatura dipende dalla frequenza del segnale, dalle proprietà dei materiali utilizzati, dalla continuità elettrica dell'involucro e dalla presenza di aperture, giunzioni o attraversamenti impiantistici.

Un documento statunitense declassificato, la specifica NSA n. 94-106 relativa agli involucri schermati, riporta requisiti di attenuazione di inserzione pari ad almeno 100 dB nell'intervallo compreso tra 1 kHz e 10 GHz.

Tale valore riguarda una specifica tecnica storica e non deve essere considerato un requisito generale applicabile indistintamente a ogni installazione TEMPEST.

Un ulteriore riferimento pubblico è il manuale militare statunitense MIL-HDBK-1195, che contiene indicazioni sull'efficacia della schermatura elettromagnetica in funzione della frequenza.

Criteri di valutazione

La valutazione TEMPEST di un'apparecchiatura non si basa esclusivamente sulla potenza delle emissioni irradiate, ma considera soprattutto la possibilità di ricavare informazioni correlate ai segnali trattati dal sistema.

Questo criterio distingue le prove TEMPEST dalle verifiche ordinarie di compatibilità elettromagnetica, che si concentrano principalmente sul rispetto dei limiti di emissione e immunità elettromagnetica.

La valutazione deve considerare il comportamento dell'intero sistema nelle condizioni operative previste, comprese le interconnessioni, i cavi, gli alimentatori e gli apparati periferici.

Stati Uniti

La National Security Agency gestisce il TEMPEST Certification Program (TCP), articolato in due programmi collegati:

• Certified TEMPEST Manufacturer Program: consente ai produttori industriali di sviluppare, realizzare e commercializzare prodotti conformi al National TEMPEST Standard destinati all'utilizzo da parte di enti governativi statunitensi e dei paesi NATO, nonché dei relativi appaltatori;
• Certified TEMPEST Test Services Program: qualifica le strutture di prova che soddisfano i requisiti previsti in materia di personale, strumentazione, impianti e sicurezza.

Secondo la documentazione NSA del maggio 2025, la certificazione attesta la conformità della struttura di produzione o di prova ai requisiti tecnici, di sicurezza, di personale, di attrezzature e di funzionamento stabiliti dal Technical and Security Requirements Document (TSRD). L'agenzia precisa inoltre che la certificazione non costituisce una garanzia sulla qualità dei servizi erogati dalla struttura certificata.

Anche l'United States Army dispone di una struttura di prova TEMPEST presso l'Electronic Proving Ground di Fort Huachuca, in Arizona.

Nel glossario del National Institute of Standards and Technology (NIST), la figura del Certified TEMPEST Technical Authority (CTTA) è definita come un dipendente governativo statunitense esperto e tecnicamente qualificato, che ha soddisfatto i requisiti di certificazione stabiliti secondo i criteri approvati dal Committee on National Security Systems e che è stato formalmente designato da un dipartimento o da un'agenzia governativa per svolgere le relative funzioni.

NATO

La NATO dispone di uno schema di certificazione TEMPEST che consente agli Stati membri di individuare produttori e apparecchiature conformi ai requisiti di sicurezza previsti per il trattamento di informazioni classificate.

Il sistema si basa sulle National TEMPEST Authorities (NTA), le autorità nazionali competenti per la gestione dei programmi di qualificazione e certificazione nei rispettivi paesi.

Il catalogo NATO Information Assurance Product Catalogue (NIAPC) pubblica informazioni sui produttori e sui prodotti TEMPEST approvati. Le autorità nazionali competenti stabiliscono i programmi di qualificazione dei fornitori e verificano il mantenimento dei requisiti di conformità.

La documentazione NATO distingue differenti livelli di protezione e prevede controlli sui prodotti e sulle relative configurazioni. I prodotti destinati a installazioni con requisiti di protezione più elevati sono sottoposti a procedure di qualificazione specifiche.

La modifica di componenti o configurazioni di un prodotto qualificato può richiedere nuove verifiche, qualora possa influire sulle caratteristiche delle emissioni compromettenti.

Italia

In Italia, la protezione delle informazioni classificate rispetto alle emissioni compromettenti è disciplinata nell'ambito delle disposizioni per la tutela amministrativa del segreto di Stato e delle informazioni classificate, contenute nel decreto del Presidente del Consiglio dei ministri 6 novembre 2015, n. 5.

L'articolo 1, comma 1, lettera nn), definisce TEMPEST le tecnologie atte a eliminare o ridurre entro valori non pericolosi ai fini della sicurezza le emissioni prodotte dalle apparecchiature elettroniche che elaborano o trattano informazioni classificate o coperte da segreto di Stato.

L'Ufficio Centrale per la Segretezza (UCSe), nell'ambito del Dipartimento delle informazioni per la sicurezza, svolge le funzioni istituzionali relative alla protezione delle informazioni classificate e alla gestione delle procedure di omologazione dei sistemi e dei laboratori TEMPEST.

In particolare, l'articolo 58 del DPCM n. 5/2015 disciplina i laboratori TEMPEST, costituiti da soggetti pubblici o operatori economici per l'esecuzione delle verifiche delle apparecchiature, mentre l'articolo 59 disciplina l'omologazione dei sistemi TEMPEST.

Le richieste di omologazione sono inoltrate all'UCSe dall'Organo Centrale di Sicurezza (OCS) competente, secondo le procedure tecniche e amministrative previste dalla normativa nazionale.

Altri paesi

Anche altri paesi NATO dispongono di programmi nazionali per la qualificazione di apparecchiature e laboratori TEMPEST.

In Canada, il Communications Security Establishment (CSE) gestisce il Canadian Industrial TEMPEST Program, relativo alla qualificazione dei prodotti e delle strutture industriali.

In Germania, il Bundesamt für Sicherheit in der Informationstechnik (BSI) pubblica informazioni sui prodotti hardware sottoposti a verifiche di emissione e sulle relative classificazioni per zone di sicurezza.

La ricerca di Wim van Eck

Nel 1985 Wim van Eck pubblicò sulla rivista Computers & Security una delle prime analisi tecniche non classificate dei rischi legati alle emissioni elettromagnetiche dei monitor.

Il ricercatore dimostrò la possibilità di ricostruire a distanza le immagini visualizzate da un monitor CRT, utilizzando apparecchiature relativamente economiche.

Da questa ricerca prende il nome la tecnica del Van Eck phreaking, che consiste nell'intercettazione e nella ricostruzione delle informazioni visualizzate su un monitor attraverso l'analisi delle emissioni elettromagnetiche.

Negli anni successivi la ricerca si è estesa ai display a cristalli liquidi, ai cavi digitali e alle interfacce video.

Altri studi hanno dimostrato la possibilità di ricavare informazioni dalle emissioni elettromagnetiche prodotte dalle tastiere, sia cablate sia senza fili.

Soft TEMPEST

Nel 1998 Markus Kuhn e Ross Anderson introdussero il concetto di Soft TEMPEST, descrivendo la possibilità di utilizzare le emissioni elettromagnetiche prodotte da un sistema informatico per trasmettere informazioni nascoste.

Lo studio mostrò come le caratteristiche dei segnali generati da un software potessero essere sfruttate per creare canali di comunicazione non convenzionali, potenzialmente utilizzabili per trasferire informazioni senza ricorrere ai normali canali di comunicazione.

Analisi delle emissioni nei sistemi crittografici

Parallelamente agli studi TEMPEST, la ricerca sugli attacchi side-channel ha dimostrato che le emissioni elettromagnetiche e i consumi elettrici dei circuiti crittografici possono contenere informazioni sulle operazioni eseguite e, in determinate condizioni, sulle chiavi utilizzate.

Nel 1999 Paul Kocher introdusse la differential power analysis, una tecnica che consente di ricavare informazioni sui processi crittografici attraverso l'analisi statistica delle variazioni di consumo elettrico.

Nel 2001 furono pubblicati i primi risultati sperimentali sull'analisi elettromagnetica dei dispositivi crittografici.

Esfiltrazione di dati da sistemi air-gapped

Un ulteriore filone di ricerca riguarda l'esfiltrazione di informazioni da computer isolati fisicamente dalle reti esterne, definiti air-gapped.

Questi sistemi sono progettati per impedire la comunicazione diretta con reti non autorizzate, ma possono comunque produrre segnali fisici che, in particolari condizioni, possono essere utilizzati come canali di comunicazione.

Tra gli esempi documentati figurano:

• AirHopper: tecnica presentata nel 2014 che sfrutta segnali a radiofrequenza nella banda FM generati da un computer isolato e ricevuti da un dispositivo mobile nelle vicinanze.
• BitWhisper: tecnica descritta nel 2015 che utilizza variazioni termiche prodotte da computer isolati per realizzare un canale di comunicazione tra sistemi vicini.
• GSMem: tecnica presentata nel 2015 che sfrutta emissioni elettromagnetiche riconducibili alle frequenze dei sistemi cellulari per trasferire dati da computer isolati.
• ODINI: tecnica descritta nel 2018 che sfrutta campi magnetici a bassa frequenza prodotti da computer infetti per trasferire informazioni anche in presenza di schermature elettromagnetiche, come quelle di una gabbia di Faraday.

Screaming channels

Nel 2018 fu descritta una classe di attacchi denominata screaming channels, che riguarda circuiti integrati a segnale misto dotati di trasmettitori radio.

Questi circuiti, presenti in numerosi dispositivi elettronici connessi, integrano componenti analogici e digitali sullo stesso chip. Le operazioni eseguite dalla parte digitale possono influenzare il rumore prodotto dal trasmettitore radio, generando segnali correlati ai dati elaborati.

Attraverso tecniche di elaborazione del segnale, i ricercatori hanno dimostrato la possibilità di ricavare informazioni sensibili, comprese chiavi crittografiche, dalle emissioni prodotte da tali dispositivi.

Un caso storico: il progetto GUNMAN

Un esempio documentato di sfruttamento delle emissioni elettromagnetiche, realizzato attraverso l'inserimento intenzionale di componenti occultati all'interno di un'apparecchiatura, è il progetto sovietico noto alla NSA con il nome in codice GUNMAN.

A partire dal 1976, la NSA scoprì che alcune macchine da scrivere elettriche IBM Selectric, utilizzate presso l'ambasciata statunitense a Mosca e il consolato statunitense di Leningrado, erano state modificate per consentire la trasmissione clandestina dei caratteri digitati.

Le apparecchiature contenevano magnetometri in grado di rilevare i movimenti dei meccanismi interni della macchina. I segnali venivano elaborati da circuiti elettronici occultati e trasmessi mediante collegamenti radio, consentendo di ricostruire i testi digitati dagli utilizzatori.

Il progetto rappresenta un esempio di compromissione delle informazioni attraverso l'analisi e la trasmissione di segnali fisici correlati alle operazioni di un dispositivo, sebbene non costituisca un caso di emissione compromettente accidentale in senso stretto.