Um comando assinado aplicado em um tempo enganado ainda leva ao roteamento errado

Uma nota técnica para operadores de redes indexadas no tempo: constelações que roteiam, atribuem tarefas ou fazem transferência por uma programação, em que cada nó age quando o seu próprio relógio atinge um instante programado.

Abreviações: GNSS, sistema global de navegação por satélite; TPL, nível de proteção de temporização; PNT, posicionamento, navegação e temporização.

A alegação#

Autenticar mensagens de controle, inclusive com assinaturas pós-quânticas, prova quem enviou a mensagem e que ela não foi alterada. Não prova quando o receptor age sobre ela. Um nó executa um comando indexado no tempo contra o seu próprio relógio. Se esse relógio tiver sido puxado por δ, um comando válido para o instante T é executado no tempo verdadeiro T + δ, com todas as assinaturas intactas. Quando |δ| excede a guarda de slot, o tráfego cai no slot errado, um enlace comuta enquanto a outra extremidade ainda aponta para outro lugar, ou uma transferência ocorre cedo demais. A rede roteia errado, e todas as verificações de integridade no caminho do comando informam sucesso.

Por que o relógio é o alvo fraco#

O tempo GNSS é a referência habitual, e pode sofrer spoofing. Um nó que disciplina o seu relógio ao GNSS herda o tempo que o receptor fornecer. Um spoofer que mantém verdes os próprios indicadores de qualidade do receptor pode puxar esse tempo lentamente.
As verificações de atualidade usam o mesmo relógio. Uma janela de validade ("aceitar este comando até T + w") ou um contador de repetição vinculado ao tempo é julgado contra o relógio local, de modo que um relógio puxado também pode ampliar a janela em que um comando assinado capturado é aceito.
O ataque não precisa de chave. Nada no canal assinado é tocado. Uma criptografia mais forte eleva o custo de forjar um comando e deixa este custo inalterado.

Isso se situa ao lado do trabalho pós-quântico, e não contra ele: os dois fecham brechas diferentes. As assinaturas impedem um comando forjado. A integridade do tempo impede que um comando genuíno seja executado no momento errado.

O que o limita#

Quatro medidas, cada uma quantificada pelo tipo de cenário slot-timing (SLOT-TIMING.md):

Um monitor auxiliado por relógio. Compare o tempo GNSS com o próprio relógio do nó em navegação inercial ao longo de uma janela e dê alarme quando a diferença for grande demais para ser ruído do relógio. O TPL condicional limita o erro que pode passar despercebido antes do alarme.
Verificações independentes, programadas. Uma transferência de tempo bidirecional com uma estação terrestre ou uma comparação de crosslink com um vizinho fora do alcance do spoofer limita por quanto tempo um puxão lento pode durar. O intervalo de revisita é um parâmetro de segurança, e não apenas operacional.
Geometria. Um spoofer em terra só alcança um satélite em órbita baixa da Terra enquanto ele está acima do horizonte do spoofer, de modo que o puxão é limitado pela taxa de rampa do spoofer vezes essa janela. Em aritmética: uma rampa de 10 ns/s mantida por 600 s dá 6 µs. O exemplo incluído (kshana example slot-timing-ocxo-leo: órbita de 550 km, rampa máxima de 10 ns/s) informa uma exposição ao spoofer de 732 s e um puxão limitado pela rampa de 7.321 ns.
Uma guarda dimensionada a partir do limite e uma ação segura no alarme. A guarda de slot deve cobrir o maior erro não detectado que o monitor e as verificações permitem, e não apenas o ruído do relógio em funcionamento livre. No alarme, um nó deve manter a sua última programação boa no seu relógio em navegação inercial, em vez de seguir o GNSS.

O que esta nota não alega#

Ela não alega que um satélite com spoofing tenha sido observado causando roteamento errado; não estima a exposição de nenhum operador; e os limites a que remete são MODELLED, condicionais à detecção e às hipóteses de ameaça declaradas. Argumenta uma composição: uma assinatura válida e um tempo de execução correto são propriedades separadas, e uma rede indexada no tempo precisa de ambas.