Dies ist relativ einfach, wenn die beiden Enden des Netzwerkpfads entweder:

• In zwei verschiedenen Phasen der 3-Phasen-Versorgung des Gebäudes
• Aus verschiedenen Stromversorgungsschränken

Es ist möglich, die vom Signal verwendeten Hochfrequenzkomponenten herauszufiltern, wobei nur die 50 (oder 60) Hz-Netzversorgung übrig bleibt - tatsächlich viel Strom Glättungskomponenten tun dies standardmäßig.

In diesem Fall wird es sehr einfach, da Sie eine dedizierte Phase haben. In Wirklichkeit kreuzt sehr wenig Signal zwischen den Phasen. Es könnte einige geben, aber es wird winzig sein. Filtern Sie diese Phase, und die Wahrscheinlichkeit, ein Signal auf einem der beiden anderen zu erhalten, ist effektiv Null. Siehe meine andere Antwort unter https://security.stackexchange.com/a/9728/485

Die umfassendere Lösung besteht jedoch darin, dies in einer Richtlinie oder einem Vertrag zu definieren nicht erlaubt, und dann Verstöße gegen Richtlinien aufspüren und alles Notwendige tun - dies kann Disziplinarmaßnahmen sein.

Ich bin ein Elektrotechniker mit einem starken Hintergrund in Computer und IT. Dies ist keine völlig unvernünftige Angst, aber wahrscheinlich unwahrscheinlich, da Sie einen umfassenden physischen Zugang benötigen würden, um dies zu erreichen. Wie bereits erwähnt, kann die Netzleitung nicht über Transformatoren verlaufen. Idealerweise sollten Sie einen Transformator im sicheren Raum haben, der verhindert, dass unerwünschte Netzwerksignale den Raum verlassen. Wenn 480V-3ph in den Raum kommen, haben Sie bereits einen Abwärtstransformator. Andernfalls sollten Sie an jeder Stelle, an der der Stromkreis in den Raum eintritt, einen 1: 1-Transformator oder möglicherweise einen 1: 1-Transformator für jede Phase installieren, um zu verhindern, dass Signale den Raum verlassen. Ein Leitungsfilter könnte auch verwendet werden, um die Hochfrequenznetzwerksignale herauszufiltern. Ich habe keinen Hochleistungsfilter für einen gesamten Feeder gesehen, aber das bedeutet nicht, dass er nicht existiert.

Der einfachste Weg, um dieses "Problem" zu lösen, besteht darin, zu vermeiden, dass in sensiblen Bereichen direkte Netzspannung anliegt.

Ich gehe zunächst davon aus, dass Ihr Rechenzentrum über einen vollständigen Faradayschen Käfig in der gesamten Einrichtung verfügt gegeben und Ihre Mitarbeiter tragen alle Zinnfolienhüte, wenn Sie an den Servern arbeiten. Da es wohl einfacher ist, einen einzelnen Wifi-AP in Ihrem Netzwerk zu installieren, als zwei separate HomePlugs in Ihrem Gebäude.

Nun zurück zur Antwort. Alles, was Sie wirklich tun müssen, ist, den gesamten Serverraum über eine AC-DC-AC-Brücke vom Stromnetz zu trennen. Das klingt vielleicht nach einer wahnsinnigen Ausgabe, aber wahrscheinlich haben Sie diese bereits. Viele USV-Designs basieren auf einer AC-DC-AC-Brücke, deren DC-Seite an eine Batteriebank angeschlossen ist.

"Alles, was Sie tun müssen, ist, alle USV-Geräte in einen abgeschirmten Raum zu bringen ( ohne Netzwerkzugriff) und verdrahten Sie dann Ihren Serverraum neu, um nur direkt mit der USV verbunden zu werden.

Ein etwas anderer Ansatz: Durchsuchen Sie jeden, der den Raum betritt, nach Netzwerkgeräten und lassen Sie diese nicht zu. Speichergeräte, Kameras und andere Methoden zum Kopieren von Informationen müssen aus dem Raum entfernt werden.

Natürlich können Sie dies mit Filtern auf der Stromleitung kombinieren, aber wenn es jemandem möglich ist, die Maschinen im Raum mit einem nicht autorisierten Netzwerk zu verbinden, und dies ein Problem ist, kann es ebenso ein Problem sein, wenn sie ein vernetztes Laufwerk und ein Netzwerk mit sich führen geh später damit raus. (Oder stecken Sie einfach ein USB-Laufwerk ein, aber Sie können die USB-Anschlüsse physisch blockieren. Wenn die Computer im Inneren kein Netzwerk benötigen, können Sie natürlich auch deren Netzwerkanschlüsse blockieren.)

Andererseits Offensichtlich ist es teuer. Aber in dem einzigen isolierten Serverraum in Faraday, dem ich begegnet bin, war ein Wachmann an der Tür.

Ist es möglich?

Ist es möglich, Informationen über A / C-Stromleitungen zu übertragen? Sicher. Verdeckte Überwachungsangreifer machen seit Jahrzehnten verschiedene Versionen davon (lange bevor Ethernet over Power auf den Markt kam).

Ein verdeckter Überwachungsangreifer (dh ein Spion) benötigt drei Dinge, um Informationen aus einer sicheren Einrichtung zu erhalten:

Etwas zum Sammeln der Daten (z. B. ein Mikrofon für Audio, eine Kamera für Video oder eine Verbindung zum LAN in dem vom OP erwähnten Fall einer nicht autorisierten Verbindung zu einem sicheren Netzwerk.)

1. Ein Übertragungsweg, der aus dem überwachten Bereich herausführt. Dies ist in diesem Fall Ihre Wechselstromleitung. Andere gängige Beispiele sind HF-Sendungen (von einem FM-Radiosender über einen Wi-Fi-AP oder eine Station bis hin zu Bluetooth) sowie Frequenzsprung- und / oder Spreizspektrumsender, die zur Vermeidung von Erkennung entwickelt wurden ,) Telefonleitungen, Ethernet-Leitungen, Laser, IR-Strahler, moduliertes sichtbares Licht, Rohre oder sogar die Stahlträger in Ihrem Gebäude. Beachten Sie, dass die letzteren Fälle in einigen Fällen als Leiter verwendet werden können, sie können jedoch auch direkt zur Übertragung von Audio über Druckwellen verwendet werden. Ein Stahlträger, der durch einen sicheren Raum verläuft, ermöglicht es jedem, der auf diesen Träger zugreifen kann, beispielsweise alles zu hören, was im Raum vor sich geht.

2. Zugriff auf das andere Ende

ol>

Was tun?

Die vorherigen Vorschläge zur Installation von Filtern oder Trenntransformatoren in den Leitungen sind gute Ideen, aber Sie müssen sicherstellen, dass die Isolation ausreichend ist und dass Sie für jeden sicheren Raum eine solche Isolation haben.

Eine andere Möglichkeit wäre, absichtlich viel Breitband-HF-Rauschen in die Leitungen einzufügen, insbesondere wenn dies der Fall ist bestimmte Frequenzen, um die Sie sich Sorgen machen, z. B. die für Ethernet over Power verwendeten.

Es wäre auch ratsam, die Leitungen auf HF-Frequenzen zu überwachen (die auf Stromversorgungsleitungen offensichtlich nicht vorhanden sein sollten). Dies kann durch Überprüfen der Leitungen mit einem HF-Spektrumanalysator mit einer A / C-Stromleitung erfolgen Sonde. Mehrere Unternehmen, die sich auf Gegenüberwachung spezialisiert haben, stellen diese und viele weitere Unternehmen her, die elektronische Testgeräte für Elektrotechniker herstellen. Außerdem stellen sie Spektrumanalysatoren her, an die eine solche Sonde angeschlossen werden kann.

Mit einem Spektrumanalysator können Sie Sehen Sie eine Spitze bei den Frequenzen, die vom verdeckten Sender verwendet werden. Sie sehen auch andere Signale auf dem Kabel, wie z. B. Geräusche, die von großen Elektromotoren erzeugt werden. Wenn Sie etwas sehen, das wie eine absichtliche HF-Übertragung auf einer Wechselstromleitung aussieht, ist dies ein großes Problem, und wer auch immer die Überwachung durchführt, muss es aufspüren.

Offenlegung: Ich bin eine Software Ingenieur bei einem Unternehmen, das Produkte zur Gegenüberwachung herstellt, einschließlich HF-Spektrumanalysatoren.

Wenn er den Switch mit der EOP-Verbindung überbrücken kann, kann er die Informationen auch direkt auf ein Flash-Laufwerk herunterladen. Darüber würde ich mir mehr Sorgen machen. Es gibt sogar SD-Karten mit integrierter WLAN-Funktion.

Oder er kann einfach einen beliebigen WLAN-Router hinzufügen. Dies könnte sogar auf einer nicht standardmäßigen Frequenz liegen (wie der ProxyHam, der kürzlich in den Nachrichten war). Die Frequenz kann von langwellig (die ohne Probleme durch einen Faradayschen Käfig gehen und eine wirklich ausgefeilte magnetische Abschirmung erfordern würden), kurzwellig bis leicht (Infrarot) reichen. Drahtlose Module sind sehr billig und einfach einzurichten.

Beachten Sie auch, dass Ethernet über Strom aufgrund von Design-Kompromissen (der hohen Datenrate) eine sehr begrenzte Reichweite hat. Wenn jemand mit Elektronikkenntnissen andere Kompromisse eingeht, kann der Bereich viel größer sein.

Ein typisches SPS-Modul hat eine Ausgangsleistung von 10 W. Mit dieser Art von Strom ist es möglich und sehr einfach, eine drahtlose Verbindung auf der ganzen Welt einzurichten (auf Kosten der Datenrate).

Hier ist einer, der eine Verbindung über 20000 km nur mit nur einer Verbindung herstellt 5 W Leistung ( http://www.ft817.eu/qrp-long-path-qso-to-australia-5-watts-with-yaesu-ft-817/)

Eine AC / DC / AC-USV kann nicht garantieren, dass sie Hochfrequenzkomponenten herausfiltert.

Selbst wenn die USV die Frequenzen filtert, kann ein Übersprechen zwischen den Eingangs- und Ausgangskabeln die sichere und öffentliche Verbindung herstellen Seiten.

Die Ausbreitung elektromagnetischer Wellen ist in der Praxis sehr schwer vorherzusagen. Sie könnten sich einen Spektrumanalysator zulegen und nachweisen, dass sich nichts an Ihrer USV vorbei ausbreitet (eigentlich ist es nicht so einfach, da das Signal unter dem Grundrauschen liegen könnte), aber wenn jemand elektrische Kabel einsteckt, die an nichts angeschlossen sind, kann er die Systeme überbrücken durch kapazitive Kopplung.

Wenn Ihr Kunde wirklich gegen einen Schurkensender (der eine SPS oder etwas oben Beschriebenes sein könnte) geschützt werden muss, muss er einen vollständig abgeschirmten Raum mit einem direkt eingebauten Filter haben Das Schild.

https://en.wikipedia.org/wiki/Tempest_%28codename%29

Wenn dies nicht erforderlich ist, keine offenen Netzwerkports und Vorhängeschlösser und Manipulationen Offensichtliche Siegel auf dem Gerät könnten eine billige Lösung sein.

Bearbeiten:

Ich habe nicht den Ruf, die Antworten zu kommentieren, die einen Spektrumanalysator empfehlen: Ich stimme diesen zu, aber Ich möchte hinzufügen, dass es aus drei Gründen nicht einfach ist, ein geheimes Signal auf einem Spektrumanalysator zu finden:

• Sie betrachten ein enormes Frequenzband. Dieses Band wird viele tausend Frequenzen von Radiosendern, Schaltnetzteilen, Monitoren und bald haben. Jede Emission wird aufgrund von Intermodulationseffekten als mehrere Peaks auf dem Spektrumanalysator angezeigt. Wenn Sie auf das Display schauen, sehen Sie Zehntausende von Peaks, und jeder einzelne könnte die Informationen ausführen. Sie müssen jeden einzelnen von ihnen eindeutig identifizieren. Dies wird nicht durch die Tatsache erleichtert, dass legitime Radiosender ständig kommen und gehen, Schaltnetzteile die Frequenz aufgrund unterschiedlicher Lasten ändern usw. Selbst wenn Sie einen Spitzenwert sehen, haben Sie keine Ahnung, ob er geheime Informationen enthält. Ein LCD-Bildschirm erzeugt beispielsweise etwas, das wie harmloses Rauschen aussieht, aber tatsächlich alles enthält, was auf dem Bildschirm angezeigt wird.

• Eine heimliche Emission kann im Grundrauschen verborgen sein. Wenn der Angreifer nur eine kleine Datenmenge (ca. 1 KBit / s) entfernen möchte, ist das Signal möglicherweise nicht zu finden.

• Der Angreifer kann immer einen Timer verwenden Nur nachts zu senden, wenn Sie nicht auf Ihren Spektrumanalysator schauen.

tl; dr: Es ist unmöglich, ein Signal auf geheimen Informationsgehalt zu überprüfen. Der einzige Weg ist zu:

• Bauen Sie Ihren Faradayschen Käfig mit allen Filtern in der Wand, aber lassen Sie die Ausrüstung nicht laufen.

• Verwenden Sie einen empfindlichen Spektrumanalysator, um festzustellen, ob Sie in Ihrem Käfig Funkemissionen empfangen können. (Keine einfache Messung)

• Legen Sie ein sehr starkes Signal an Ihre Stromleitungen an und prüfen Sie, ob es sich durch die Filter ausbreitet.

• Denken Sie immer daran, dass es einen Kompromiss zwischen SNR / gibt. Bandbreite und Informationsrate. Ein hoch entwickelter Angreifer kann immer in jedes Schild eindringen. Sie können lediglich die Bandbreite seines Kanals mit einer besseren Filterrate reduzieren.

Mit der Signalverarbeitung ist es möglich, Schläge zu erkennen Herz in einem eingestürzten Gebäude (entwickelt, um nach Erdbebenopfern zu suchen). Wie verhindern Sie, dass der Angreifer durch mechanische Vibrationen Signale auslöst? Änderungen des Luftdrucks? Änderungen im Stromverbrauch der Geräte? Ein intelligenter Stromzähler kann erkennen, welches Fernsehprogramm Sie gerade ansehen. Um dies zu vermeiden, benötigen Sie einen Generator in Ihrem sicheren Bereich (und lassen ihn immer mit konstanter Leistung laufen).

Eine bessere Lösung besteht darin, Netzwerkports zu deaktivieren und Steckdosen zu sperren. Haben Sie eine für die Reinigungskräfte und eine für Servicetechniker und setzen Sie ein Vorhängeschloss auf, wenn sie fertig sind. Sie können alle Arten von Geräten finden, die nach den Schlüsselwörtern Logout / Tagout suchen.

[Ich arbeite nicht in der Computersicherheit, beschäftige mich jedoch mit elektromagnetischen Störungen und Funkkommunikation. Ich weiß, wie schwierig es ist, unerwünschte Signale abzuschirmen. Meine Empfehlung ist, eine Analyse der Bedrohungen durchzuführen (Schutz vor böswilligem Datendiebstahl durch einen geschulten Gegner mit geeigneten Ressourcen, Schutz vor Dummheit) und dann zu sehen, womit Sie leben können.

Es macht keinen Sinn, sie zu verwenden Ein abgeschirmter Raum, in dem jemand, der unbeaufsichtigt ist, die Daten auf ein Flash-Laufwerk kopieren kann.

Wenn der Schutz vor böswilliger HF-Übertragung wirklich ein Problem darstellt, müssen Sie einen Experten auf diesem Gebiet hinzuziehen und dies wahrscheinlich tun Schwere Konstruktion zur Abschirmung, Schaffung eines sicheren Bereichs um Ihren Faradayschen Käfig usw.]

Ethernet over Power ist nicht Ihr Problem.

Das Problem ist: Benutzer können Geräte an Ihren Switch anschließen und auf Ihr Netzwerk zugreifen! Es gibt Möglichkeiten, dies zu verhindern, und dies sollten Sie tun.

Was ist, wenn jemand einen Wifi-Zugangspunkt mit dem Switch verbindet und eine Verbindung zu diesem Netzwerk in einem anderen Raum im Gebäude herstellt?

Oder was ist, wenn jemand ein kleines UMTS / LTE verbindet Gateway zum Switch und stellt von überall auf dem Planeten ?

eine Verbindung zum Netzwerk her. Oder was ist, wenn jemand einfach ein Gerät installiert, das den Datenverkehr abfängt und speichert und dieses Gerät später abruft?

Es sollte niemand auf diesen sicheren Raum zugreifen können, und kein unbekanntes Gerät sollte nur eine Verbindung zum Netzwerk herstellen können.