Подписанная команда, применённая в обманутое время, всё равно приводит к неверной маршрутизации

Техническая заметка для операторов сетей с привязкой ко времени: орбитальных группировок, которые маршрутизируют, назначают задачи или передают управление по расписанию, где каждый узел действует, когда его собственные часы достигают запланированного момента.

Сокращения: GNSS — глобальная навигационная спутниковая система; TPL — уровень защиты по времени; PNT — позиционирование, навигация и время.

Утверждение#

Аутентификация управляющих сообщений, в том числе постквантовыми подписями, доказывает, кто отправил сообщение и что оно не было изменено. Она не доказывает, когда получатель его выполняет. Узел выполняет команду с привязкой ко времени по собственным часам. Если эти часы сдвинуты на δ, команда, действительная для момента T, выполняется в истинное время T + δ при полностью сохранных подписях. Как только |δ| превышает защитный интервал слота, трафик попадает в неверный слот, канал переключается, пока другой конец ещё нацелен в другую сторону, или передача управления происходит раньше времени. Сеть неверно маршрутизирует, а каждая проверка целостности в тракте команд сообщает об успехе.

Почему часы — слабое место#

Время GNSS — обычный источник отсчёта, и его можно подменить спуфингом. Узел, подстраивающий часы по GNSS, наследует любое время, которое выдаёт приёмник. Спуфер, удерживающий собственные флаги качества приёмника зелёными, может медленно сдвигать это время.
Проверки свежести используют те же часы. Окно действительности («принимать эту команду до T + w») или счётчик повторов, привязанный ко времени, оцениваются по локальным часам, так что сдвинутые часы могут также расширить окно, в котором принимается перехваченная подписанная команда.
Атаке не нужен ключ. Ничто в подписанном канале не затрагивается. Более стойкая криптография повышает стоимость подделки команды и оставляет эту стоимость неизменной.

Это находится рядом с постквантовой работой, а не против неё: они закрывают разные бреши. Подписи останавливают поддельную команду. Целостность времени не даёт выполнить подлинную команду в неверный момент.

Что это ограничивает#

Четыре меры, каждая из которых количественно оценивается видом сценария slot-timing (SLOT-TIMING.md):

Монитор с поддержкой часов. Сравнивайте время GNSS с собственными часами узла, идущими по инерции за окно, и подавайте тревогу, когда разность слишком велика для шума часов. Условный TPL ограничивает ошибку, которая может остаться незамеченной до тревоги.
Независимые проверки по расписанию. Двусторонняя передача времени от наземной станции или сравнение по межспутниковой линии с соседом вне досягаемости спуфера ограничивает, как долго может продолжаться медленный сдвиг. Их интервал повторных обращений — параметр безопасности, а не только эксплуатации.
Геометрия. Наземный спуфер достаёт спутник на низкой околоземной орбите только пока тот над горизонтом спуфера, поэтому сдвиг ограничен скоростью нарастания спуфера, умноженной на это окно. Арифметика: нарастание 10 нс/с, удерживаемое 600 с, составляет 6 мкс. Входящий в поставку пример (kshana example slot-timing-ocxo-leo: орбита 550 км, максимальное нарастание 10 нс/с) сообщает воздействие спуфера 732 с и ограниченный нарастанием сдвиг 7 321 нс.
Защитный интервал, рассчитанный по границе, и безопасное действие при тревоге. Защитный интервал слота должен покрывать наибольшую необнаруженную ошибку, которую допускают монитор и проверки, а не только шум свободно идущих часов. При тревоге узлу следует удерживать своё последнее исправное расписание на инерционно идущих часах, а не следовать GNSS.

Чего эта заметка не утверждает#

Она не утверждает, что наблюдалась неверная маршрутизация из-за подмены спутника; она не оценивает подверженность какого-либо оператора; а границы, на которые она указывает, относятся к уровню MODELLED, при условии обнаружения и указанных предположений об угрозах. Она обосновывает композицию: действительная подпись и верное время выполнения — отдельные свойства, и сети с привязкой ко времени нужны оба.