Podepsaný příkaz použitý v podvrženém čase stále špatně směruje

Technická poznámka pro provozovatele sítí indexovaných časem: konstelací, které směrují, zadávají úlohy nebo předávají spojení podle rozvrhu, kde každý uzel jedná, když jeho vlastní hodiny dosáhnou naplánovaného okamžiku.

Zkratky: GNSS, globální družicový navigační systém; TPL, časová ochranná úroveň; PNT, určování polohy, navigace a času.

Tvrzení#

Ověřování řídicích zpráv, včetně postkvantových podpisů, dokazuje, kdo zprávu poslal a že nebyla pozměněna. Nedokazuje, kdy podle ní přijímač jedná. Uzel provádí příkaz indexovaný časem podle vlastních hodin. Pokud byly tyto hodiny posunuty o δ, příkaz platný pro okamžik T se provede ve skutečném čase T + δ, přičemž všechny podpisy zůstanou nedotčené. Jakmile |δ| překročí ochranný interval slotu, provoz skončí ve špatném slotu, spoj se přepne, zatímco druhý konec ještě míří jinam, nebo dojde k předčasnému předání. Síť směruje chybně a každá kontrola integrity v cestě příkazu hlásí úspěch.

Proč jsou hodiny měkkým cílem#

• Čas GNSS je obvyklá reference a lze jej podvrhnout (spoofing). Uzel, který disciplinuje své hodiny podle GNSS, zdědí jakýkoli čas, který přijímač dodává. Spoofer, který udržuje vlastní příznaky kvality přijímače zelené, může tento čas pomalu posouvat.
• Kontroly čerstvosti používají tytéž hodiny. Okno platnosti („přijmout tento příkaz do T + w“) nebo čítač proti přehrání vázaný na čas se posuzuje podle místních hodin, takže posunuté hodiny mohou také rozšířit okno, v němž se přijme zachycený podepsaný příkaz.
• Útok nepotřebuje žádný klíč. Nic v podepsaném kanálu se nemění. Silnější kryptografie zvyšuje cenu padělání příkazu a tuto cenu ponechává beze změny.

Toto stojí vedle postkvantové práce, ne proti ní: obojí uzavírá jiné díry. Podpisy zastaví padělaný příkaz. Integrita času zastaví provedení pravého příkazu ve špatný okamžik.

Co to ohraničuje#

Čtyři opatření, každé kvantifikované druhem scénáře slot-timing (SLOT-TIMING.md):

1. Monitor podporovaný hodinami. Porovnejte čas GNSS s vlastními hodinami uzlu, které v daném okně dojíždějí setrvačně, a vyhlaste poplach, když je rozdíl příliš velký na to, aby šlo o šum hodin. Podmíněná TPL ohraničuje chybu, která může zůstat nepovšimnuta před poplachem.
2. Nezávislé kontroly, naplánované. Obousměrný přenos času z pozemní stanice nebo porovnání přes křížový spoj se sousedem mimo dosah spooferu omezuje, jak dlouho může pomalé posouvání trvat. Jejich interval opakování je bezpečnostním parametrem, nikoli jen provozním.
3. Geometrie. Pozemní spoofer dosáhne družice na nízké oběžné dráze Země jen tehdy, když je nad horizontem spooferu, takže posunutí je omezeno rychlostí náběhu spooferu krát toto okno. Jako aritmetika: náběh 10 ns/s udržovaný 600 s činí 6 µs. Přibalený příklad (kshana example slot-timing-ocxo-leo: dráha 550 km, maximální náběh 10 ns/s) uvádí expozici spooferu 732 s a posunutí omezené náběhem 7 321 ns.
4. Ochranný interval dimenzovaný podle meze a bezpečná akce při poplachu. Ochranný interval slotu by měl pokrýt největší nezjištěnou chybu, kterou monitor a kontroly připouštějí, nikoli jen šum volně běžících hodin. Při poplachu by uzel měl držet svůj poslední dobrý rozvrh na hodinách s setrvačným dojezdem, místo aby následoval GNSS.

Co tato poznámka netvrdí#

Netvrdí, že bylo pozorováno, jak podvržená družice způsobuje chybné směrování; neodhaduje expozici žádného provozovatele; a meze, na které odkazuje, jsou MODELLED, podmíněné detekcí a uvedenými předpoklady o hrozbě. Argumentuje složením: platný podpis a správný čas provedení jsou samostatné vlastnosti a síť indexovaná časem potřebuje obě.