Une commande signée appliquée à un instant trompé achemine quand même de travers

Une note technique pour les exploitants de réseaux indexés sur le temps : des constellations qui acheminent, assignent des tâches ou transfèrent selon un planning, où chaque nœud agit lorsque sa propre horloge atteint un instant planifié.

Abréviations : GNSS, Global Navigation Satellite System ; TPL, niveau de protection de synchronisation temporelle ; PNT, positionnement, navigation et synchronisation temporelle.

L'affirmation#

Authentifier les messages de commande, y compris avec des signatures post-quantiques, prouve qui a envoyé un message et qu'il n'a pas été altéré. Cela ne prouve pas quand le récepteur agit dessus. Un nœud exécute une commande indexée sur le temps par rapport à sa propre horloge. Si cette horloge a été tirée de δ, une commande valable pour l'instant T s'exécute au temps réel T + δ, avec toutes les signatures intactes. Dès que |δ| dépasse la garde de créneau, le trafic tombe dans le mauvais créneau, une liaison commute alors que l'autre extrémité pointe encore ailleurs, ou un transfert se produit trop tôt. Le réseau achemine de travers, et chaque contrôle d'intégrité du chemin de commande signale un succès.

Pourquoi l'horloge est la cible facile#

Le temps GNSS est la référence habituelle, et il est leurrable. Un nœud qui asservit son horloge au GNSS hérite de n'importe quel temps que sert le récepteur. Un leurreur qui maintient au vert les propres indicateurs de qualité du récepteur peut tirer lentement ce temps.
Les contrôles de fraîcheur utilisent la même horloge. Une fenêtre de validité (« accepter cette commande jusqu'à T + w ») ou un compteur anti-rejeu lié au temps est jugé par rapport à l'horloge locale ; une horloge tirée peut donc aussi élargir la fenêtre pendant laquelle une commande signée capturée est acceptée.
L'attaque n'a besoin d'aucune clé. Rien dans le canal signé n'est touché. Une cryptographie plus forte relève le coût de falsification d'une commande et laisse ce coût-ci inchangé.

Cela se place à côté des travaux post-quantiques, et non contre eux : les deux ferment des brèches différentes. Les signatures arrêtent une commande falsifiée. L'intégrité du temps empêche qu'une commande authentique soit exécutée au mauvais moment.

Ce qui la borne#

Quatre mesures, chacune quantifiée par le type de scénario slot-timing (SLOT-TIMING.md) :

Un moniteur assisté par l'horloge. Comparer le temps GNSS à l'horloge propre du nœud en marche à l'inertie sur une fenêtre, et déclencher une alarme lorsque la différence est trop grande pour être du bruit d'horloge. Le TPL conditionnel borne l'erreur qui peut passer inaperçue avant l'alarme.
Des contrôles indépendants, planifiés. Un transfert de temps bidirectionnel avec une station au sol ou une comparaison par liaison croisée avec un voisin hors de portée du leurreur plafonne la durée pendant laquelle une dérive lente peut se poursuivre. Leur intervalle de revisite est un paramètre de sécurité, et pas seulement d'exploitation.
Géométrie. Un leurreur au sol n'atteint un satellite en orbite terrestre basse que tant que celui-ci est au-dessus de l'horizon du leurreur, de sorte que la dérive est plafonnée par la vitesse de rampe du leurreur multipliée par cette fenêtre. En arithmétique : une rampe de 10 ns/s tenue pendant 600 s fait 6 µs. L'exemple fourni (kshana example slot-timing-ocxo-leo : orbite de 550 km, rampe maximale de 10 ns/s) indique une exposition au leurreur de 732 s et une dérive limitée par la rampe de 7 321 ns.
Une garde dimensionnée à partir de la borne, et une action sûre en cas d'alarme. La garde de créneau devrait couvrir la plus grande erreur non détectée que le moniteur et les contrôles admettent, et pas seulement le bruit de l'horloge en marche libre. En cas d'alarme, un nœud devrait conserver son dernier bon planning sur son horloge en marche à l'inertie plutôt que de suivre le GNSS.

Ce que cette note n'affirme pas#

Elle n'affirme pas qu'un satellite leurré a été observé en train d'acheminer de travers ; elle n'estime l'exposition d'aucun exploitant ; et les bornes vers lesquelles elle renvoie sont MODELLED, conditionnelles à la détection et aux hypothèses de menace énoncées. Elle défend une composition : une signature valide et un temps d'exécution correct sont des propriétés distinctes, et un réseau indexé sur le temps a besoin des deux.