Hardwaresicherheit: was Kshana mit Hardware tut und was nie

Status: rechtliche Prüfung durch den Eigentümer steht aus. Die rechtlichen Hinweise unten sind die Lesart öffentlicher Quellen durch die Maintainer, aufgeschrieben, damit ein Nutzer weiß, wo die Grenzen liegen. Sie sind keine Rechtsberatung, sie wurden nicht von einem Rechtsbeistand geprüft, und das Recht unterscheidet sich je nach Land. Lesen Sie sie als Anlass, einen Juristen zu fragen, nicht als Erlaubnis.

Kshana ist beratende Software für Forschung, Simulation und Test. Sie ist kein typzugelassenes Gerät und bewertet oder genehmigt weder einen Empfänger noch eine Uhr noch ein Labor. Siehe die Hinweiserklärung in der README.

Die Regel#

Empfangen ist das Produkt. Senden gehört nie in die offene Engine.

Kshana enthält keinen Code, der einen Sender ansteuert. Es gibt keinen Sendepfad für SDR (keinen Sendeaufruf von UHD, HackRF, bladeRF oder Soapy), und keine Wellenform für jamming oder spoofing wird in eine Datei geschrieben, die zur Wiedergabe gedacht ist.
Dateien, die Kshana schreibt (IQ-Szenen, SigMF- und ION-.sdrx-Aufzeichnungen, NMEA- und bench-Exporte), beschreiben simulierte, rechtmäßige Signale oder Bewegung, und die Metadaten, die Kshana für eine Szene schreibt, sagen, dass sie von kshana iq scene geschrieben wurde (der ION-.sdrx-Kommentar sagt, dass es eine simulierte Szene ist, keine Aufzeichnung).
Wo ein Experiment HF auf einer bench braucht, erzeugt die eigene Ausrüstung des Betreibers sie, im eigenen Gehäuse des Betreibers, unter der eigenen Genehmigung des Betreibers. Kshana zeichnet auf, was der Betreiber sagt, getan zu haben, und schließt es nie selbst.

Stufen#

Jede Stufe nennt, was Kshana tut, welche Hardware beteiligt ist, wer HF aussendet (falls jemand), und das Gate, das gelten muss, bevor Kshana das Ergebnis als Beleg behandelt.

Stufe	Rolle von Kshana	Hardware	HF-Aussendung	Gate	Stand in 0,38
0	Dateien: Replay-Logs, IQ, bench-Exporte, Live-NMEA oder UBX über stdin, TCP oder UDP	keine	keine	keine	ausgeliefert
1	Passiver Empfang: Empfänger nur lesend; Zeitgebungslogs (linuxptp, chrony, TICC); IMU-CSV; `iq monitor --follow` auf einer wachsenden SigMF-Datei	die Empfänger, der Grandmaster und das SDR im Empfang des Nutzers	keine	jeder Konfigurationsschreibzugriff auf einen Empfänger braucht ein ausdrückliches `--configure`; der Standard ist nur lesend	teilweise ausgeliefert: Formate für Zeitgebungslogs, `holdover-test`, `iq monitor --follow`; serielle Empfängereingabe ist geplant
2	Laborsteuerung ohne HF von Kshana: eine Spezifikation der Testbedingungen, Schritte des Betreibers (Antenne abziehen, Simulator starten) angefragt und mit Zeitstempel versehen, Bewertung im Rundlauf und Nachweis	laboreigene Simulatoren, abgeschirmte Boxen	nur durch den Simulator des Labors, leitungsgebunden	eine signierte `lab-attestation` (unten), im Nachweispaket aufgezeichnet; Kshana verweigert die Bewertung eines Laborlaufs ohne sie	die Aufzeichnung ist in Nachweispaketen umgesetzt; die Verweigerung der Bewertung ohne sie noch nicht (es gibt keinen Befehl für Laborläufe)
3	Leitungsgebundene Wiedergabe rechtmäßiger GNSS-IQ-Szenen: Kshana schreibt die Szenendatei, und der Nutzer spielt sie mit seinem eigenen Werkzeug über ein Kabel mit Dämpfungsgliedern auf ein zu prüfendes Gerät in einem HF-Gehäuse ab	das SDR, die Dämpfungsglieder und das Gehäuse des Nutzers	nur leitungsgebunden, in der Verantwortung des Nutzers	kein Sendecode in der offenen Engine; Wellenformen für Störung und spoofing bleiben außerhalb des Umfangs; Prüfung der Exportkontrolle; Rechtsbeistand	nicht in der offenen Engine; ein Punkt der kommerziellen Ausgabe, der mit einem Rechtsbeistand zu erledigen ist
4	Geschlossene HF-Hardware-in-the-Loop-Regelung in Echtzeit	Ausrüstung von Partnern	Partner	stattdessen über die Spezifikation der Stufe 2 integrieren	nicht geplant

„Ausgeliefert“ heißt, der Code ist in diesem Release. Nichts in dieser Tabelle sagt, dass irgendeine Stufe mit irgendeinem Partner, Labor oder einer Behörde verwendet wurde; keine wurde es.

Grundsätze#

Empfangen ist das Produkt, und Senden gehört nie in den offenen Code.
Jede Hardware-Sitzung liefert ein Nachweispaket mit Hashes der Eingaben, der Bedingungen und der verwendeten Schwellwerte.
Eine Bestätigung für leitungsgebundenen oder abgeschirmten Betrieb wird aufgezeichnet, nie geschlossen.
Zahlen, die aus Hardware stammen, bleiben MODELLED, bis eine unabhängige externe Referenz übereinstimmt (zum Beispiel eine Wahrheitstrajektorie des Labors oder eine Referenzuhr). Ein vorab festgelegter Zielwert wird nach einem Lauf nicht gelockert.
Antennen mit gesteuerten Charakteristiken, Inertialeinheiten und chipgroße Atomuhren werden als Datenquellen behandelt (Charakteristiken, Logs, veröffentlichte Stabilitätskurven), nicht als Geräte, die Kshana ansteuert.
Wortlaut: Ein Ergebnis ist „gegen die Maske gemessen“ oder „liefert Belege für“ eine Anforderung. Kshana sagt nicht, dass ein Gerät eine Norm erfüllt, und niemand hat es bewertet oder zugelassen.

Rechtliche Hinweise (rechtliche Prüfung durch den Eigentümer steht aus)#

GNSS-Signale zu empfangen ist fast überall legal. In GNSS-Bändern zu senden ist es nicht.

Vereinigte Staaten. Vorsätzliche Störung von Funkverkehr ist nach 47 U.S.C. §333 untersagt, und die FCC geht gegen Störsender vor (https://www.fcc.gov/general/jammer-enforcement). Eine Aussendung von einer bench kann über die bench hinausreichen.
Anderswo. Die Maintainer haben das Recht anderer Länder nicht geprüft. Die Gemeinschaft um gps-sdr-sim gibt an, dass das Senden seiner Ausgabe in den meisten Ländern gesetzlich verboten ist; behandeln Sie das als Arbeitsannahme, wo ein Rechtsbeistand nichts anderes gesagt hat.
Ein abgeschirmter oder leitungsgebundener Aufbau ist eine Schutzmaßnahme, keine Erlaubnis. Die Bestätigung unten zeichnet die Schutzmaßnahme auf, die nach Angabe des Betreibers bestand. Sie macht eine Aussendung nicht rechtmäßig.
Aufzeichnen. Das Aufzeichnen von Funksignalen kann an manchen Orten Fragen zu Datenschutz und Rechtmäßigkeit aufwerfen. iq monitor --follow und jedes Rezept für Aufnahmen sind nur empfangend, und der Betreiber ist dafür verantwortlich, wo und was er aufzeichnet.
Exportkontrolle. Hardware-in-the-Loop-Software, die Signalgeneratoren ansteuert, kann unter Exportkontrollregeln fallen. Deshalb liegt Stufe 3 außerhalb der offenen Engine.
Nichts hier ist eine Befürwortung oder eine Vereinbarung. Keine Regulierungsbehörde, kein Testgelände, kein Labor und kein Hersteller wurde zu diesem Dokument befragt oder hat irgendetwas darin zugestimmt.

Das Feld `lab-attestation`#

Für Stufe 2 und höher trägt ein Lauf, an dem Laborausrüstung beteiligt war, ein Objekt lab-attestation, im Nachweispaket neben den Hashes der Eingaben aufgezeichnet. Es ist eine Aussage eines benannten Betreibers, keine Messung, und Kshana überprüft sie nicht.

[lab-attestation]                                     # or the same keys at the top level of the file
operator = "name or role of the person responsible"   # required
organisation = "laboratory or company"                # required
date = "2026-11-02"                                   # required, the day of the session
setup = "conducted"                                   # required: "conducted" or "shielded"
attenuation_db = 60.0                                 # required for "conducted": total, emitter to device
enclosure = "RF-shielded box, model and ID"           # required for "shielded"
emitter = "laboratory-owned simulator, model"         # required: what produced any RF
statement = "No emission outside the enclosure or cable path."   # required, free text
signature = "ed25519:..."                             # optional: the operator's own detached signature, recorded as given

Was in 0,38 umgesetzt ist:

kshana receiver-trust evidence ... --lab-attestation <file.toml> validiert die Datei und zeichnet die Bestätigung in der manifest.json des Pakets auf. Das Manifest wird von der Ed25519-Signatur des Pakets abgedeckt, die Aufzeichnung kann also nicht bearbeitet werden, ohne die Verifikation zu brechen. Dasselbe gibt es als Argument lab_attestation des Python-evidence_create und als Argument lab_attestation_toml des MCP-Werkzeugs create_evidence_pack (der Browser-Build erstellt keine Pakete).
Ein Paket, das ohne Bestätigung erstellt wird, ist Byte für Byte so wie zuvor.
kshana evidence verify meldet die Bestätigung und sagt „vom benannten Betreiber bestätigt; von Kshana nicht überprüft“.
Eine Bestätigung, die unvollständig ist oder deren setup weder conducted noch shielded ist (ein Aufbau über die Luft wird nicht als Laborlauf akzeptiert), wird abgelehnt, und es wird kein Paket erstellt.

Was noch nicht umgesetzt ist: die Regel der Stufe 2, dass Kshana die Bewertung eines Laborlaufs ohne Bestätigung verweigert. Kein Befehl nimmt in 0,38 ein Flag für Laborläufe, also gibt es nichts zu verweigern; die Regel kommt mit den Befehlen zur Laborsteuerung. Eine Bestätigung zeichnet die Aussage des Betreibers zu einer Schutzmaßnahme auf. Sie macht keine Aussendung rechtmäßig und ändert nicht das Label eines Ergebnisses: Ein bewerteter Laborlauf ist MODELLED, solange keine externe Referenz übereinstimmt.

Was das für Mitwirkende bedeutet#

Fügen Sie der offenen Engine keinen Sendepfad, keine Sendeabhängigkeit und kein Sendebeispiel hinzu.
Fügen Sie keinen Wellenformgenerator hinzu, dessen Ausgabe ein Signal für jamming oder spoofing zur Wiedergabe ist.
Neue Hardware-Eingaben sind standardmäßig nur lesend; ein Schreibzugriff braucht ein ausdrückliches Flag und eine Zeile in dieser Datei.
Ein neuer Befehl, der Hardware berührt, kommt auf jede Oberfläche oder wird mit einer Begründung in SURFACES.md als N/A markiert und nennt hier seine Stufe.