Composable Post-Quantum Security for FADEC-Coupled Dual-Spool Turbofan Cyber-Physical Systems

Resumen Técnico: Seguridad Post-Cuántica Composible para Sistemas Ciberfísicos de Turbofan de Doble Eje Acoplados a FADEC

Enunciado del Problema
El artículo aborda la brecha matemática entre la criptografía post-cuántica (PQC) y los sistemas de control aeroespacial críticos para la seguridad, específicamente el Control Digital de Autoridad Total (FADEC) acoplado a motores turbofan de doble eje. La literatura existente suele tratar la seguridad criptográfica (por ejemplo, encapsulamiento de claves basado en retículos, cifrado autenticado) y la estabilidad teórica de control (por ejemplo, margen de compresión, aceleración del eje, cumplimiento torsional) como dominios independientes. Esta separación no logra dar cuenta de cómo los factores específicos de la PQC —como la expansión del texto cifrado, la longitud del transcripto de atestación y las restricciones de entropía para la renovación de claves— interactúan con la programabilidad del bus en tiempo real, la latencia de comunicación y la estabilidad de la planta física. Los autores argumentan que, en arquitecturas críticas para la seguridad, un sistema puede estar autenticado criptográficamente pero no ser "composiblemente seguro" si la sobrecarga criptográfica viola los márgenes de tiempo o estabilidad.

Metodología
Los autores desarrollan una formulación matemática unificada dentro de un modelo híbrido estocástico donde la evolución de la planta, la latencia de comunicación, la fuga de información, la calidad del canal adversario y el estado criptográfico evolucionan bajo una filtración común. La metodología central incluye:

1. Modelo de Sistema Unificado: El sistema objetivo se modela como una tupla acoplada $S_\lambda$ que comprende un modelo estocástico del motor ($P_{eng}$), un controlador FADEC, un bus de aviónica abstracto ($B_{bus}$), un canal de comunicación consciente del radar ($C_{ch}$), una fuente de Función Físicamente Inclonable (PUF) y primitivas post-cuánticas (KEM, AEAD, pruebas de conocimiento cero).
2. Dominio de Parámetros Acoplados: El análisis trata el estado del sistema como un conjunto producto $\Theta_{tot} = \Theta_{pq} \times \Theta_{puf} \times \Theta_{aead} \times \Theta_{bus} \times \Theta_{radar} \times \Theta_{eng} \times \Theta_{filt}$. En lugar de optimizar estas secciones de forma independiente, el modelo las certifica en un único conjunto admisible.
3. Modelo de Amenaza: El adversario es una entidad probabilística de tiempo polinomial capaz de observar el tráfico público, obtener fugas limitadas de canales laterales (modeladas mediante entropía mínima suave y divergencia de Rényi) e inyectar fallas transitorias abstractas. El modelo excluye explícitamente instrucciones procedimentales para atacar hardware real.
4. Tratamiento Analítico Defensivo: El artículo utiliza marcos de Composibilidad Universal (UC) para definir funcionalidades ideales para la actualización de claves, la autenticación y la integridad, y luego demuestra que el protocolo real realiza estas funcionalidades solo cuando se cumplen predicados específicos de estabilidad y programabilidad.

Contribuciones Clave
El artículo proporciona un "sistema de teoremas acoplados" que demuestra que la migración a PQC en el control aeroespacial no puede evaluarse únicamente por tamaños de clave o dureza asintótica. Las contribuciones técnicas clave incluyen:

• Impacto del Radar y Doppler en la Renovación de Claves: Los autores derivan que la incertidumbre en la sección transversal de radar y la atenuación Doppler reducen la capacidad del canal adversario, pero simultáneamente aumentan la pérdida de entropía ($\Delta H_{ch}$). Esto estrecha el periodo admisible de renovación de claves ($T_{key}$), forzando actualizaciones más frecuentes en entornos de alta incertidumbre.
• Expansión del Texto Cifrado y Programabilidad: El artículo demuestra que la expansión del texto cifrado post-cuántico (específicamente $O(\lambda \log \lambda)$ para KEM basados en retículos) aumenta directamente los tiempos de respuesta del bus ($R_i$). Esta expansión puede empujar la latencia total más allá de la "ventana de actuación criptográfica" ($W_{act}$), provocando que el sistema rechace comandos válidos para preservar la seguridad.
• Fuga Física y Entropía: El modelo vincula parámetros físicos con la entropía criptográfica. Específicamente, se muestra que las perturbaciones en la holgura de la punta de los álabes ($\delta_{tc}$) y la telemetría de vibración del eje actúan como canales de fuga, reduciendo la entropía mínima suave de las claves derivadas de PUF y requiriendo umbrales de alarma conservadores.
• Márgenes de Estabilidad bajo Latencia: Los autores establecen un límite de estabilidad entrada-estado (ISS) inducido por latencia. Demuestran que el retraso total autenticado ($\delta_{tot}$) erosiona la tasa de decaimiento exponencial del sistema de lazo cerrado, con el margen reducido aún más por la saturación del flujo de combustible.
• Separación entre Autenticación y Composibilidad: Un resultado teórico crítico (Contraejemplo 1) demuestra que un sistema puede poseer autenticación criptográfica perfecta (cero falsificación, cero fuga) y, sin embargo, no ser composiblemente seguro si se pierden los plazos de tiempo real debido al tamaño de la carga útil criptográfica.

Resultados
El artículo deriva varias cotas e desigualdades formales:

• Límite de Seguridad-Estabilidad: Se establece una condición suficiente para la liberación composible donde la ventaja de distinción está acotada por la suma de errores criptográficos ($\epsilon_{kem}, \epsilon_{aead}, \dots$) más la probabilidad de pérdida de plazos ($\epsilon_{bus}$) y violaciones de márgenes de estabilidad ($\epsilon_{st}$).
• Política de Renovación: Se demuestra que el periodo de renovación de claves es una función de las tasas de fuga de canales laterales, vibración e incertidumbre de radar: $T_{key} \leq \frac{H^\epsilon_\infty(K_0) - \kappa_{min}}{\dot{\ell}_{side} + \dot{\ell}_{vib}|\delta_{tc}| + \dot{\ell}_{ch}}$.
• Desigualdad de Programabilidad: El artículo demuestra que, para que una tarea sea programable, la latencia total (respuesta del bus + verificación + retraso de propagación) debe ser menor que el mínimo entre el plazo de control, los límites de aceleración del eje, los límites de erosión del margen de compresión y los requisitos de muestreo torsional.
• Análisis de Sensibilidad: La evaluación simbólica muestra que aumentar el tamaño del texto cifrado ($L_{kem}$) reduce monótonamente la holgura temporal y los márgenes de estabilidad, mientras que aumentar la incertidumbre del radar ($V_\Sigma$) acelera los requisitos de renovación de claves.

Significado y Afirmaciones
El artículo afirma modestamente proporcionar un sobre de garantía matemático en lugar de un nuevo controlador, bus o primitiva criptográfica. Su significado radica en:

1. Definir el Acoplamiento: Caracteriza explícitamente cómo interactúan la seguridad post-cuántica, la programabilidad en tiempo real y la estabilidad de lazo cerrado en el control aeroespacial crítico para la seguridad.
2. Identificar Modos de Fallo: Identifica regímenes de parámetros específicos donde una "actualización criptográfica plausible" (por ejemplo, textos cifrados PQC más grandes) consume la holgura temporal y de estabilidad requerida para el control seguro de la propulsión.
3. Alcance Defensivo: Los autores enfatizan que el modelo es una herramienta analítica defensiva. No proporciona orientación operativa para interferir con plataformas reales, ni reemplaza los artefactos de certificación de motores. En su lugar, define acoplamientos auditables matemáticamente que los procesos de certificación pueden instanciar y desafiar.

El trabajo concluye que la migración post-cuántica en el control aeroespacial crítico para la seguridad requiere un "sobre acoplado de seguridad-estabilidad-latencia" formulado en relación con una superficie de ataque observable explícita, en lugar de una simple sustitución de algoritmos criptográficos.