Allekirjoitettu komento, joka suoritetaan harhautetulla ajalla, reitittää silti väärin

Tekninen huomautus aikaindeksoitujen verkkojen operaattoreille: tähdistöt, jotka reitittävät, tehtävöivät tai luovuttavat aikataulun mukaan, jolloin jokainen solmu toimii, kun sen oma kello saavuttaa aikataulutetun hetken.

Lyhenteet: GNSS, maailmanlaajuinen satelliittinavigointijärjestelmä; TPL, ajoituksen suojaustaso; PNT, paikannus, navigointi ja ajanmääritys.

Väite#

Ohjausviestien autentikointi, myös kvanttilaskennan jälkeisillä (post-quantum) allekirjoituksilla, todistaa, kuka viestin lähetti ja ettei sitä ole muutettu. Se ei todista, milloin vastaanottaja toimii sen perusteella. Solmu suorittaa aikaindeksoidun komennon omaa kelloaan vasten. Jos kelloa on vedetty arvolla δ, hetkelle T pätevä komento suoritetaan todellisella ajalla T + δ, kaikki allekirjoitukset ehjinä. Kun |δ| ylittää slottisuojan, liikenne päätyy väärään slottiin, linkki vaihtuu vaikka toinen pää osoittaa vielä muualle, tai luovutus tapahtuu etuajassa. Verkko reitittää väärin, ja jokainen komentopolun eheystarkistus ilmoittaa onnistumisesta.

Miksi kello on pehmeä kohde#

• GNSS-aika on tavallinen viite, ja sitä voi harhauttaa. Solmu, joka kurinalaistaa kellonsa GNSS:ään, perii minkä tahansa ajan, jota vastaanotin tarjoaa. Harhauttaja, joka pitää vastaanottimen omat laatulippuset vihreinä, voi vetää tätä aikaa hitaasti.
• Tuoreustarkistukset käyttävät samaa kelloa. Voimassaoloikkuna (”hyväksy tämä komento kunnes T + w”) tai aikaan sidottu toistolaskuri arvioidaan paikallista kelloa vasten, joten vedetty kello voi myös laajentaa ikkunaa, jossa kaapattu allekirjoitettu komento hyväksytään.
• Hyökkäys ei tarvitse avainta. Allekirjoitettuun kanavaan ei kosketa. Vahvempi kryptografia nostaa komennon väärentämisen hintaa ja jättää tämän hinnan ennalleen.

Tämä sijoittuu kvanttilaskennan jälkeisen kryptografian työn rinnalle, ei sitä vastaan: nämä kaksi sulkevat eri aukkoja. Allekirjoitukset pysäyttävät väärennetyn komennon. Aikaeheys pysäyttää aidon komennon suorittamisen väärällä hetkellä.

Mikä sen rajaa#

Neljä toimenpidettä, joista kukin on kvantifioitu skenaariolajilla slot-timing (SLOT-TIMING.md):

1. Kelloavusteinen valvonta. Vertaa GNSS-aikaa solmun omaan kelloon, joka rullaa ikkunan yli, ja hälytä, kun ero on liian suuri ollakseen kellokohinaa. Ehdollinen TPL rajaa virheen, joka voi jäädä huomaamatta ennen hälytystä.
2. Riippumattomat tarkistukset, aikataulutettuina. Maa-aseman kaksisuuntainen ajansiirto tai ristiyhteysvertailu naapurin kanssa, joka on harhauttajan ulottumattomissa, rajaa, kuinka kauan hidas veto voi jatkua. Niiden käyntiväli on tietoturvaparametri, ei vain operatiivinen.
3. Geometria. Maalla oleva harhauttaja yltää matalan Maan kiertoradan satelliittiin vain, kun se on harhauttajan horisontin yläpuolella, joten vetoa rajoittaa harhauttajan ramppinopeus kertaa tuo ikkuna. Laskuna: ramppi 10 ns/s, jota pidetään 600 s, on 6 µs. Mukana toimitettu esimerkki (kshana example slot-timing-ocxo-leo: kiertorata 550 km, enimmäisramppi 10 ns/s) raportoi harhauttajan altistukseksi 732 s ja ramppirajoitetuksi vedoksi 7 321 ns.
4. Rajasta mitoitettu suoja ja turvallinen toimenpide hälytyksessä. Slottisuojan tulisi kattaa suurin havaitsematta jäävä virhe, jonka valvonta ja tarkistukset sallivat, ei vain kellon vapaasti käyvän kohinan. Hälytyksessä solmun tulisi pitää viimeisin hyvä aikataulunsa rullaavalla kellollaan GNSS:n seuraamisen sijaan.

Mitä tämä huomautus ei väitä#

Se ei väitä, että harhautettu satelliitti olisi havaittu reitittävän väärin; se ei arvioi minkään operaattorin altistusta; ja rajat, joihin se viittaa, ovat MODELLED, ehdollisia havaitsemiselle ja ilmoitetuille uhkaoletuksille. Se perustelee kokonaisuuden: pätevä allekirjoitus ja oikea suoritusaika ovat erillisiä ominaisuuksia, ja aikaindeksoitu verkko tarvitsee molemmat.