InjectEave: RF-сигнал заставляет обычное железо ретранслировать звук

Обычно инженер ищет побочное излучение там, где устройство уже само шумит: у тактового генератора, шины, DC/DC-преобразователя, проводов гарнитуры. InjectEave предлагает куда более неприятную физическую сцену. В эфир вводят внешнюю радиочастотную несущую, а затем ждут, пока какой-нибудь вполне штатный аналоговый узел сам нанесёт на неё внутренний звук, показание сенсора или пульсацию потребления.

Несущая приходит снаружи, модулятор уже стоит на плате

У этой идеи нет требования добраться до цифровых данных или взломать протокол. Достаточно, чтобы в аппарате существовал участок с нелинейной передаточной характеристикой и связью с внешним полем. Авторы назвали последовательность Injection–Modulation–Emission: инъекция наводит RF-напряжение, нелинейность смешивает его с секретным низкочастотным сигналом, а получившиеся компоненты вновь излучаются. В упрощённой модели напряжение утечки пропорционально произведению внутреннего сигнала на наведённую несущую. Приёмник ищет боковые полосы около известной несущей, где исходный сигнал ушёл от плотного низкочастотного шума и помех.

Именно место смешения делает работу интересной для разработчика железа. В опытах эффект возникал в усилителях, АЦП, MOSFET-ключах и силовых преобразователях. Контроль с линейной резистивной нагрузкой убирал наблюдаемую инъекционно-индуцированную утечку. Для исследованного АЦП канал сохранялся и при инъекции за пределами частоты дискретизации 860 Гц. Это указывает на аналоговый фронтенд до выборки: объяснение через цифровой aliasing здесь не требуется.

Смешение живёт до цифровой границы

Авторы демонстрировали восстановление аудио с проводных и беспроводных наушников, сигналов аналоговых датчиков и модуляций, связанных с потреблением. Демодулированная речь содержит гармоники и интермодуляционные искажения, поэтому для повышения разборчивости применялось программное улучшение речи. На странице проекта для 11 коммерческих устройств приведены лабораторные расстояния от 1 до 6 м. Отдельный опыт заявлен на 30 м, однако он использовал дополнительный RF-усилитель мощности; принимать эту цифру за типовую дальность было бы ошибкой.

Картина угрозы здесь физическая и системная. Фильтр, который хорошо работает для полезного сигнала, может оставить путь для наведённой RF-энергии; входная защита, операционный усилитель или ключ питания добавят нужную нелинейность; кабель и плата сыграют роль антенны. Экранирование корпуса, фильтрация вводов, подавление синфазного тока, контроль импедансов и линейности аналоговых каскадов становятся частью защиты информации. Криптография сохраняет необходимость, однако она не может убрать модуляцию, появившуюся уже на аналоговом сигнале за её границей.

Защищать приходится путь RF-наводки

Измерения и дальние аудиозаписи опубликованы авторами, независимой репликации найдено не было. По этой причине работа пока доказывает существование и механизм канала на конкретных стендах, а не гарантированную уязвимость каждого устройства с нелинейным компонентом. Но сам сдвиг инженерного мышления остаётся сильным: аппарат может начать излучать секрет не потому, что плохо спроектирован как передатчик, а потому, что его намеренно заставили выполнить функцию смесителя.