Ett signerat kommando som tillämpas vid en vilseledd tid leder ändå fel

En teknisk not till operatörer av tidsindexerade nät: konstellationer som dirigerar, tilldelar uppgifter eller överlämnar enligt ett schema, där varje nod agerar när dess egen klocka når ett schemalagt ögonblick.

Förkortningar: GNSS, Global Navigation Satellite System; TPL, skyddsnivå för tidssynkronisering; PNT, positionering, navigering och tidssynkronisering.

Påståendet#

Att autentisera styrmeddelanden, även med postkvantsignaturer, bevisar vem som skickade ett meddelande och att det inte ändrades. Det bevisar inte när mottagaren agerar på det. En nod utför ett tidsindexerat kommando mot sin egen klocka. Om den klockan har dragits med δ körs ett kommando som gäller för ögonblicket T vid verklig tid T + δ, med varje signatur intakt. När |δ| överstiger slotskyddet hamnar trafiken i fel slot, en länk växlar medan andra änden fortfarande pekar åt ett annat håll, eller en överlämning sker för tidigt. Nätet dirigerar fel, och varje integritetskontroll i kommandovägen rapporterar att allt gick bra.

Varför klockan är det mjuka målet#

• GNSS-tid är den vanliga referensen, och den går att spoofa. En nod som disciplinerar sin klocka mot GNSS ärver den tid som mottagaren levererar. En spoofer som håller mottagarens egna kvalitetsflaggor gröna kan dra den tiden långsamt.
• Färskhetskontroller använder samma klocka. Ett giltighetsfönster ("godta det här kommandot till T + w") eller en återuppspelningsräknare knuten till tid bedöms mot den lokala klockan, så en dragen klocka kan också vidga fönstret där ett infångat signerat kommando godtas.
• Attacken behöver ingen nyckel. Ingenting i den signerade kanalen rörs. Starkare kryptografi höjer kostnaden för att förfalska ett kommando och lämnar den här kostnaden oförändrad.

Detta ligger vid sidan av arbetet med postkvantkryptering, inte emot det: de två täpper till olika hål. Signaturer stoppar ett förfalskat kommando. Tidsintegritet hindrar att ett äkta kommando utförs vid fel tidpunkt.

Vad som begränsar det#

Fyra åtgärder, var och en kvantifierad av scenariosorten slot-timing (SLOT-TIMING.md):

1. En klockstödd övervakare. Jämför GNSS-tid med nodens egen klocka som går vidare över ett fönster, och larma när skillnaden är för stor för att vara klockbrus. Den villkorliga TPL begränsar det fel som kan förbli obemärkt innan larmet.
2. Oberoende kontroller, schemalagda. En tvåvägs-tidsöverföring från markstation eller en jämförelse via korslänk med en granne utom räckhåll för spoofern sätter en gräns för hur länge ett långsamt drag kan pågå. Deras återbesöksintervall är en säkerhetsparameter, inte bara en driftparameter.
3. Geometri. En spoofer på marken når en satellit i låg jordbana bara medan den ligger över spooferns horisont, så draget begränsas av spooferns rampfart gånger det fönstret. Som överslagsräkning: en ramp på 10 ns/s som hålls i 600 s blir 6 µs. Det medföljande exemplet (kshana example slot-timing-ocxo-leo: bana på 550 km, högsta ramp 10 ns/s) redovisar en spooferexponering på 732 s och ett rampbegränsat drag på 7 321 ns.
4. Ett skydd dimensionerat efter gränsen, och en säker åtgärd vid larm. Slotskyddet bör täcka det största oupptäckta fel som övervakaren och kontrollerna tillåter, inte bara klockans fritt gående brus. Vid larm bör en nod hålla fast vid sitt senaste goda schema på sin klocka som går vidare i stället för att följa GNSS.

Vad den här noten inte hävdar#

Den hävdar inte att en spoofad satellit har observerats leda fel; den uppskattar inte någon operatörs exponering; och de gränser den pekar på är MODELLED, villkorade av detektering och av de angivna hotantagandena. Den argumenterar för en sammansättning: en giltig signatur och en korrekt utförandetid är skilda egenskaper, och ett tidsindexerat nät behöver båda.