Podpisane polecenie zastosowane w zwiedzionym czasie nadal błędnie kieruje
Nota techniczna dla operatorów sieci indeksowanych czasem: konstelacji, które kierują ruch, przydzielają zadania lub przekazują obsługę według harmonogramu, gdzie każdy węzeł działa, gdy jego własny zegar osiąga zaplanowany moment.
Skróty: GNSS, Global Navigation Satellite System; TPL, timing protection level (poziom ochrony czasu); PNT, pozycjonowanie, nawigacja i czas.
Teza#
Uwierzytelnianie komunikatów sterujących, także podpisami postkwantowymi, dowodzi, kto wysłał komunikat i że nie został zmieniony. Nie dowodzi, kiedy odbiorca go wykonuje. Węzeł wykonuje polecenie indeksowane czasem względem własnego zegara. Jeśli ten zegar został przesunięty o δ, polecenie ważne dla chwili T wykona się w czasie rzeczywistym T + δ, przy nienaruszonych wszystkich podpisach. Gdy |δ| przekracza margines slotu, ruch trafia do niewłaściwego slotu, łącze przełącza się, gdy drugi koniec jest jeszcze skierowany gdzie indziej, albo przekazanie następuje za wcześnie. Sieć błędnie kieruje ruch, a każda kontrola integralności na ścieżce poleceń zgłasza sukces.
Dlaczego zegar jest miękkim celem#
- Czas GNSS jest zwykłym wzorcem i można go spoofować. Węzeł, który dyscyplinuje zegar względem GNSS, dziedziczy każdy czas, który serwuje odbiornik. Spoofer, który utrzymuje własne flagi jakości odbiornika na zielono, może ten czas przesuwać powoli.
- Kontrole świeżości używają tego samego zegara. Okno ważności („przyjmuj to polecenie do
T + w”) lub licznik powtórzeń związany z czasem jest oceniany względem lokalnego zegara, więc przesunięty zegar może też poszerzyć okno, w którym przechwycone podpisane polecenie jest przyjmowane. - Atak nie wymaga klucza. Nic w podpisanym kanale nie jest naruszane. Silniejsza kryptografia podnosi koszt fałszowania polecenia, a ten koszt pozostawia bez zmian.
To leży obok prac nad kryptografią postkwantową, a nie przeciwko nim: obie zamykają różne luki. Podpisy powstrzymują sfałszowane polecenie. Integralność czasu powstrzymuje wykonanie prawdziwego polecenia w niewłaściwym momencie.
Co to ogranicza#
Cztery środki, każdy kwantyfikowany przez rodzaj scenariusza slot-timing (SLOT-TIMING.md):
- Monitor wspomagany zegarem. Porównuje czas GNSS z własnym zegarem węzła w dryfie w oknie i alarmuje, gdy różnica jest zbyt duża, by była szumem zegara. Warunkowy TPL ogranicza błąd, który może pozostać niezauważony przed alarmem.
- Niezależne kontrole, zaplanowane. Dwukierunkowy transfer czasu ze stacji naziemnej lub porównanie łączem krzyżowym z sąsiadem poza zasięgiem spoofera ogranicza, jak długo może trwać powolne przesuwanie. Ich odstęp między kolejnymi kontrolami jest parametrem bezpieczeństwa, a nie tylko operacyjnym.
- Geometria. Naziemny spoofer dosięga satelity niskiej orbity okołoziemskiej tylko wtedy, gdy jest on nad horyzontem spoofera, więc przesunięcie jest ograniczone przez tempo narastania spoofera razy to okno. W arytmetyce: narastanie 10 ns/s utrzymywane przez 600 s to 6 µs. Dołączony przykład (
kshana example slot-timing-ocxo-leo: orbita 550 km, maksymalne narastanie 10 ns/s) podaje ekspozycję na spoofer 732 s i ograniczone tempem narastania przesunięcie 7 321 ns. - Margines dobrany z granicy i bezpieczne działanie przy alarmie. Margines slotu powinien pokrywać największy niewykryty błąd, jaki dopuszczają monitor i kontrole, a nie tylko szum swobodnie biegnącego zegara. Przy alarmie węzeł powinien trzymać ostatni dobry harmonogram na swoim zegarze w dryfie, zamiast podążać za GNSS.
Czego ta nota nie twierdzi#
Nie twierdzi, że zaobserwowano błędne kierowanie przez spoofowany satelita; nie szacuje ekspozycji żadnego operatora; a granice, na które wskazuje, są MODELLED, warunkowe względem detekcji i podanych założeń o zagrożeniu. Argumentuje za kompozycją: ważny podpis i poprawny czas wykonania to osobne własności, a sieć indeksowana czasem potrzebuje obu.