在被欺骗的时间上执行已签名的指令，仍会导致路由错误

写给按时间编排的网络运营者的技术说明：这类星座按调度表进行路由、任务分配或切换，每个节点在自己的时钟到达某个预定时刻时采取行动。

缩略语：GNSS，全球导航卫星系统；TPL，授时保护级；PNT，定位、导航与授时。

论点#

对控制消息进行认证，包括使用后量子签名，只能证明消息是谁发的，以及消息没有被篡改。它不能证明接收方何时据此行动。节点依据自己的时钟执行按时间编排的指令。如果该时钟被拉偏了δ，那么对时刻T有效的指令，会在真实时间T + δ执行，而每一个签名都完好无损。一旦|δ|超过时隙保护间隔，业务就会落入错误的时隙，一条链路会在另一端仍指向别处时切换，或者切换提前发生。网络发生路由错误，而指令路径上的每一项完好性检查都报告成功。

为什么时钟是薄弱环节#

GNSS时间是常用的参考，而它可以被欺骗。把时钟校准到GNSS的节点，会继承接收机所提供的任何时间。一个能让接收机自身的质量标志始终保持green的欺骗者，可以缓慢地拉偏该时间。
新鲜性检查使用同一个时钟。有效期窗口（“在T + w之前接受此指令”）或与时间绑定的重放计数器，都是对照本地时钟判断的，因此被拉偏的时钟也会扩大截获的已签名指令被接受的窗口。
这种攻击不需要密钥。已签名信道中的任何内容都没有被触动。更强的密码学提高了伪造指令的代价，却不改变这一代价。

这与后量子工作并行，而不是对立：二者堵的是不同的漏洞。签名能阻止被伪造的指令。时间完整性能阻止一条真实的指令在错误的时刻被执行。

是什么限制了它#

四项措施，每一项都由slot-timing场景类型（SLOT-TIMING.md）量化：

时钟辅助的监测器。把GNSS时间与节点自己的时钟在一个窗口内滑行所得的时间相比较，当差值大到无法用时钟噪声解释时发出告警。条件TPL界定了在告警之前可能不被察觉的误差。
独立检查，按计划进行。地面站双向时间传递，或与欺骗者够不到的邻近节点做交联比对，限制了缓慢拉偏可持续多久。它们的重访间隔是一项安全参数，而不只是运行参数。
几何。地面欺骗者只有在近地轨道卫星位于其地平线之上时才能触及它，因此拉偏量受欺骗者的斜坡速率乘以该窗口所限。以算术表示：10 ns/s的斜坡保持600 s即为6 µs。随附示例（kshana example slot-timing-ocxo-leo：550 km轨道，10 ns/s最大斜坡）报告的欺骗者暴露时间为732 s，受斜坡限制的拉偏量为7,321 ns。
依据界限确定保护间隔大小，并在告警时采取安全动作。时隙保护间隔应覆盖监测器和各项检查所允许的最大未检出误差，而不只是时钟自由运行的噪声。告警时，节点应依靠其滑行的时钟保持最后一份良好的调度，而不是跟随GNSS。

本说明不主张什么#

它不主张已观测到被欺骗的卫星导致路由错误；它不估计任何运营者的暴露程度；它所指向的界限是MODELLED，以检测成功和所述威胁假设为条件。它论证的是一种组合：有效的签名和正确的执行时间是两种相互独立的属性，按时间编排的网络两者都需要。