⚡ electrical engineering

A Conditional Timing Protection Level: Holdover-Limited Undetected Time Error Under GNSS Spoofing

Dit artikel behandelt de kritieke kwetsbaarheid van GNSS-tijdontvangers voor ongedetecteerde spoofing-aanvallen door via veldmetingen aan te tonen dat standaardmonitoren kunnen falen in het signaleren van significante tijdsfouten, en stelt daarom een conditioneel "Timing Protection Level" (TPL) voor dat de ongedetecteerde tijdsfout begrenst op basis van oscillator-coasting en onafhankelijke consistentiecontroles tussen satellieten, in plaats van uitsluitend te vertrouwen op zelfreferentiële klokmonitoring.

Oorspronkelijke auteurs: Chakshu Baweja

Gepubliceerd 2026-06-24

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Chakshu Baweja

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Probleem: De "Stille" Klokendief

Stel je voor dat je een zeer duur, hoogwaardig polshorloge hebt dat zijn tijd krijgt van een wereldwijd satellietnetwerk (zoals GPS). Dit horloge wordt gebruikt om kritieke systemen draaiende te houden, zoals elektriciteitsnetten of aandelenmarkten.

Het artikel begint met een angstaanjagende ontdekking: Je horloge kan tegen je liegen zonder dat je het weet.

In een recente real-world test (genaamd "JammerTest 2024") zagen onderzoekers hoe een high-end ontvanger werd "gespoofd". Dit betekent dat een aanvaller valse satelliet-signalen uitzond die de klok van de ontvanger langzaam uit koers trokken.

De Realiteit: De klok liep eigenlijk 1.010.000 nanoseconden (meer dan een milliseconde) uit de pas.
De Leugen: De eigen interne "gezondheidscontrole" van de ontvanger vertelde de gebruiker: "Maak je geen zorgen, ik ben nauwkeurig tot binnen 51 nanoseconden."

De ontvanger zat er 20.000 keer naast. Het was alsof de snelheidsmeter van een auto "0 mph" aangaf, terwijl de auto in werkelijkheid met 100 mph over de snelweg raasde, en het "Check Engine"-lampje nog steeds groen brandde.

Waarom kunnen we de ontvanger niet gewoon vertrouwen?

De auteurs leggen uit dat standaard veiligheidscontroles (genaamd "RAIM") zijn ontworkt om fouten in positie op te vangen (waar je bent), niet fouten in tijd wanneer de fout gedeeld wordt door alle satellieten.

De Analogie:
Stel je een koor voor waarbij elke zanger een blad met muziek vasthoudt. Als één zanger een beetje vals begint te zingen, kan de dirigent (de ontvanger) de dissonantie horen en dit corrigeren.
Maar, als een schurk stiekem de bladmuziek voor elke zanger verandert op exact hetzelfde moment, blijft het koor perfect in harmonie met elkaar. De dirigent hoort geen dissonantie, dus denkt hij dat alles in orde is. Ondertussen zingt het hele koor het verkeerde lied.

Omdat de valse signalen "coherent" zijn (ze bewegen samen), ziet de ontvanger geen conflict en slaat hij nooit alarm, zelfs niet terwijl de tijd steeds verder uit koers raakt.

De "Onmogelijke" Waarheid

Het artikel bewijst een hard wiskundig feit: Je kunt geen perfecte, eindige veiligheidslimiet creëren voor dit soort aanvallen als je alleen vertrouwt op de eigen klok van de ontvanger.

De Analogie:
Stel je voor dat je probeert te meten hoe snel een dief je geld steelt door naar je bankrekening te kijken. Als de dief elk jaar $1 steelt, en je bankrekening schommelt van nature met $100 per dag door normale uitgaven, zul je de diefstal nooit merken. De dief kan gewoon zo langzaam te werk gaan dat de diefstal verborgen blijft in de "ruis" van je normale leven.

De auteurs laten zien dat als een aanvaller traag genoeg beweegt, hij de klok eeuwig kan corrumperen zonder ooit een alarm te triggeren. Daarom is een "gegarandeerde" veiligheidslimiet die altijd werkt, onmogelijk.

De Oplossing: Een "Conditionele" Veiligheidsvangnet

Omdat een perfecte garantie onmogelijk is, stellen de auteurs een Conditionele Timing Protection Level (TPL) voor. Dit is een veiligheidslimiet die alleen werkt als je een specif kind type back-up detector hebt.

De Analogie:
In plaats van alleen naar het koor te luisteren (de interne klok van de ontvanger), huur je een tweede, onafhankelijke waarnemer in die buiten de kamer staat.

De Detector: Deze waarnemer geeft niet om de vraag of de zangers in harmonie met elkaar zijn. Zij vergelijken de zangers met een volledig andere referentie (zoals een opname van het originele lied). Als de zangers afwijken van het originele lied, zelfs als ze nog steeds in harmonie met elkaar zijn, trekt deze waarnemer aan de bel.
Het Veiligheidsvangnet (TPL): Zodra de waarnemer de vlag hijst, stopt de ontvanger met het vertrouwen op de valse signalen en schakelt over naar zijn eigen interne batterijgestuurde klok (de zogenaamde "holdover").

De TPL beantwoordt de vraag: "Als de waarnemer de vlag hijst, hoeveel tijd kan de klok zijn uit de pas gelopen in de paar seconden die nodig zijn om de ontvanger over te schakelen naar de batterij?"

Het antwoord is: Heel weinig.

Het artikel berekent dat zelfs als de overschakeling 60 seconden duurt, de fout slechts ongeveer 458 nanoseconden zou zijn.
Dit is duizenden malen beter dan de fout van 1.000.000 nanoseconden die de ontvanger zou hebben geaccepteerd zonder de back-up detector.

Hoe het werkt (De Wiskunde in Gewone Taal)

De formule voor deze veiligheidslimiet heeft twee delen:

De "Vloer": Hoe gevoelig is je back-up detector? (In de test kon deze een verschil van ongeveer 22 nanoseconden opmerken).
De "Overbrugging" (Coast): Hoeveel loopt je interne klok uit terwijl deze op batterij draait voordat het wordt gecorrigeerd? (Dit hangt af van de kwaliteit van de oscillator van de klok).

De totale veiligheidslimiet is simpelweg: De Gevoeligheid van de Detector + de Drift van de Klok.

De Kanttekening (Beperkingen)

De auteurs zijn zeer eerlijk over wat hun oplossing niet doet:

Het is geen magisch schild: Het werkt alleen als de back-up detector de aanval daadwerkelijk opmerkt. Als de aanvaller extreem geraffineerd is en de "ruis" van de echte wereld perfect nabootst, kan de detector de aanval missen.
Het is geen gecertificeerde garantie: In tegen tegenstelling tot luchtvaartveiligheidsnormen die een specifiek risiconiveau beloven (bijv. "1 kans op een miljoen falen"), is dit een technische berekening gebaseerd op echte gegevens. Het is een "beste schatting" gebaseerd op de specifieke apparatuur die getest is, en geen universele wet.
Het heeft echte data nodig: De veiligheidsgetallen (zoals 458 nanoseconden) zijn berekend op basis van de specifieke klok die in de test werd gebruikt. Als je een goedkopere of andere klok gebruikt, veranderen deze getallen.

Samenvatting

Het artikel zegt: "Vertrouw het 'Ik ben oké'-lampje van je GPS-ontvanger niet als het om tijd gaat. Het kan geruisloos worden misleid. Echter, als je een slimme, onafhankelijke controle toevoegt die de signalen met elkaar vergelijkt, kun je de schade beperken tot een minuscuul, beheersbaar bedrag, zelfs als de aanvaller erg traag en sluw is."

De onderzoekers hebben hun code en data open-source gemaakt zodat anderen deze cijfers kunnen verifiëren en betere systemen kunnen bouwen.

Technische Samenvatting: Een Conditioneel Tijdsbeschermingsniveau voor GNSS onder Spoofing

Probleemstelling
Kritieke infrastructuur vertrouwt steeds vaker op Global Navigation Satellite Systems (GNSS) voor nauwkeurige tijdmeting. Echter, een gecoördineerde, coherente spoofing-aanval vormt een unieke dreiging voor tijdsontvangers: het kan de geserveerde kloktijd langzaam verschuiven (een common-mode ramp), terwijl een schone positie-oplossing behouden blijft en de interne integriteitsflags van de ontvanger "groen" blijven. In tegenstelling tot fouten in het positiedomein, die geometrische residuen creëren die detecteerbaar zijn via Receiver Autonomous Integrity Monitoring (RAIM), drijft een coherente tijd-synchronisatie-spoofer alle satellieten coherent aan. Hierdoor kan de ontvanger de fout volledig absorberen in zijn klokschatting, waardoor er geen range-residuen overblijven om de fout te begrenzen. Gevolgelijk kan een ontvanger een hoge tijdsnauwkeurigheid rapporteren (bijv. 51 ns), terwijl hij in werkelijkheid een tijdsfout serveert die orders van grootte groter is (bijv. ~1 ms). Dit artikel behandelt het gebrek aan een kwantitatieve grens voor de ongedetecteerde tijdsfout onder dergelijke aanvallen.

Methodologie
De auteurs hanteren een drieledige aanpak die veldgegevensanalyse, theoretische onmogelijkheidsbewijzen en een conditioneel begrenzingskader combineert:

Veldmeting: Met behulp van een publieke dataset uit de JammerTest 2024-campagne hebben de auteurs het klok-oplossingstraject van een survey-grade u-blox ZED-F9P ontvanger gereconstrueerd. Ze berekenden de klokoffset met behulp van ruwe L1-pseudoranges, een vaste schone dual-band positie en broadcast ephemeris, waarbij het resultaat werd afgezet tegen een holdover-extrapolatie van het segment voorafgaand aan de aanval.
Theoretische Analyse: Het artikel stelt een onmogelijkheidsresultaat vast met betrekking tot onvoorwaardelijke grenzen. Het toont aan dat tegen een tegenstander die vrij is in het kiezen van de ramp-rate, een zelfreferentiële klok-geassisteerde monitor (één die de huidige oplossing vergelijkt met een gedisciplineerde referentie) de fout niet kan begrenzen. Een voldoende trage ramp houdt de gedisciplineerde referentie "in lock-step" met de aanval, waardoor elk alarm wordt voorkomen terwijl de geïntegreerde fout zonder limiet groeit.
Constructie van een Conditionele Grens: Om deze onmogelijkheid te overwinnen, stellen de auteurs een Timing Protection Level (TPL) voor. Dit is een conditionele grens die standhoudt gegeven detectie door een onafhankelijke, model-vrije cross-satelliet consistentiemonitor. De TPL wordt gedefinieerd als de som van twee termen:
- Detectabiliteitsvloer: De statische $k$ -sigma offsetvloer van de cross-satellietmonitor (de maximale fout die de monitor niet signaleert).
- Holdover Onzekerheid: De geaccumuleerde oscillator-coast onzekerheid (fasefoutvariantie) over de detectielatentie ( $\tau_{det}$ ), berekend met behulp van de van Loan matrix-exponentiële integratie van de power spectral densities van de oscillator (afgeleid van gemeten Allan-deviatie).

Belangrijkste Bijdragen

Empirische Gat-kwantificering: De studie documenteert een reële aanval waarbij een ontvanger een tijdsfout van ongeveer 1,01 ms serveerde terwijl hij een geclaimde nauwkeurigheid van 51 ns rapporteerde. Dit vertegenwoordigt een gat tussen claim en realiteit van ongeveer $2 \times 10^4$ , wat aantoont dat standaard zelfbeoordeling van een ontvanger onvoldoende is voor tijdsintegriteit onder coherente spoofing.
Onmogelijkheidsobservatie: Het artikel beargumenteert formeel dat er geen eindige onvoorwaardelijke grens bestaat voor de ongedetecteerde tijdsfout onder een enkele zelfreferentiële monitor tegen een onbeperkte ramp-rate. Dit vereist een conditionele aanpak.
Het Timing Protection Level (TPL): De auteurs definiëren en kalibreren een conditionele grens. De TPL is een "holdover budget" dat de maximale fout vertegenwoordigt die kan optreden nadat een model-vrije monitor een alarm heeft afgegeven maar voordat het systeem herstelt.
- Kalibratie: Op de geregistreerde aanval werd de TPL berekend op 114 ns bij een herstellatentie van 1 seconde en 458 ns bij een latentie van 60 seconden (met een geswepte band tot 1205 ns om rekening te houden met de onzekerheid van de long-tau red noise).
- Vergelijking: Deze waarden zijn 2.200 tot 8.800 keer kleiner dan de 1,01 ms fout die de ontvanger stilzwijgend accepteerde.
Analyse van Monitorprestaties: De studie contrasteert twee monitoringsstrategieën:
- Klok-geassisteerde Sequentiële Test (CUSUM): Op de geregistreerde trage ramp bood deze test vrijwel geen bescherming (beschermingsfactor van 1x), en gaf pas alarm nadat er al ~993 µs aan fout was opgelopen.
- Model-vrije Cross-Satelliet Consistentie: Deze monitor detecteerde de aanval tijdens de ramp (minuten voor de overname) door differentiële inconsistenties te identificeren die een coherente spoofer niet perfect kon onderdrukken.

Resultaten en Betekenis
Het artikel concludeert dat hoewel de interne integriteitsflag van een ontvanger geen veiligheidsgrens is, een conditionele grens wel haalbaar is. De TPL biedt een reproduceerbare, gesloten vorm van een schatting van de maximale ongedetecteerde tijdsfout, mits een model-vrije cross-satellietmonitor actief is en de holdover-eigenschappen van de oscillator bekend zijn.

De auteurs zijn expliciet over de beperkingen en grenzen van hun claims:

Conditioneel Karakter: De grens is strikt conditioneel op de detectie van de aanval door de model-vrije monitor. Het artikel karakteriseert niet de kans op gemiste detectie van deze monitor tegen een optimaal coherente tegenstander.
Geen Integrity-Risk Budget: In tegenstelling tot luchtvaart-beschermingsniveaus, draagt de TPL geen gecertificeerd integrity-risk-per-uur budget (bijv. $10^{-7}$ /uur). Het is een engineering-grens gebaseerd op gekalibreerde primitieven, geen gecertificeerde garantie.
Kalibratie versus Validatie: De grens is gekalibreerd op een enkele geregistreerde aanval en een specifieke ontvanger/oscillator. Het is niet veld- gevalideerd tegen grondwaarheid-tijdsfouten over een populatie van ontvangers en aanvallen.
Long-Coast Onzekerheid: Voor lange detectielatenties wordt de grens bepa eigenlijk door de long-tau red-noise vloer van de oscillator, die als een geswepte band wordt gerapporteerd in plaats van een enkele scalar waarde.

De betekenis van dit werk ligt in de verschuiving van het paradigma van het zoeken naar een onmogelijke onvoorwaardelijke grens naar het bieden van een rigoureus, conditioneel "holdover budget" dat het risico tijdens de herstelfase van een spoofing-event kwantificeert. De constructie, inclus\nuit de Kshana-simulator en de kalibratievoorbeelden, is open-source om reproduceerbaarheid en verder onderzoek naar monitor-detectabiliteit en empirische dekking te faciliteren.