Brouillage et leurrage GNSS, détection, OSNMA et repli du temps

Brouillage et leurrage GNSS, détection, OSNMA et repli du temps

Le GNSS (Global Navigation Satellite System, la famille qui regroupe le GPS (Global Positioning System) américain, Galileo, GLONASS et BeiDou) passe pour un service de position. Dans une infrastructure, c’est d’abord une horloge : celle qui cale les réseaux mobiles, les réseaux électriques et l’horodatage des transactions, à partir d’un signal radio civil que rien n’authentifie par défaut. Cette page pose ce que brouillage et leurrage permettent, ce que l’authentification Galileo change (moins qu’espéré) et l’architecture de repli à tenir.

Explication de la marmotte

Toute une ville règle ses montres sur une cloche lointaine, si faible qu’on l’entend à peine. Un klaxon suffit à la couvrir, et une fausse cloche plus proche met tout le monde à la mauvaise heure sans que personne ne s’en doute. Cette page raconte comment repérer la fausse cloche et garder l’heure quand la vraie se tait.

→ Lire l’explication complète de la marmotte

Signal GNSS civil : faible à la réception, public et non authentifié

Un satellite de navigation émet quelques dizaines de watts depuis environ 20 000 km d’altitude. Au sol, le signal civil arrive une vingtaine de décibels sous le bruit thermique dans la bande du récepteur. Il n’est récupéré que par corrélation avec un code d’étalement connu d’avance. La conséquence est géométrique, pas budgétaire : un émetteur de très faible puissance situé à quelques kilomètres pèse plus lourd, à l’antenne, que toute la constellation. Le rapport de force est perdu avant d’avoir commencé.

Deuxième propriété : les codes et le format du message de navigation sont publics. C’est ce qui a permis de mettre un récepteur dans chaque téléphone, et c’est aussi ce qui permet à un émetteur terrestre de parler exactement la même langue qu’un satellite. Sans authentification, le récepteur n’a aucun moyen cryptographique de distinguer les deux. Il prend ce qui corrèle le mieux, donc ce qui est le plus fort.

Troisième propriété, souvent oubliée : les signaux civils ouverts des quatre constellations se concentrent dans la même bande haute, entre 1559 et 1610 MHz, et trois d’entre elles (GPS, Galileo, BeiDou) y partagent même la fréquence centrale de 1575,42 MHz. Un récepteur multi-constellations qui n’écoute que cette bande dispose de quatre fournisseurs et d’un seul mode commun. La diversité de fournisseurs n’apporte pas de diversité radio.

Brouillage, leurrage et retransmission différée : trois attaques GNSS, trois signatures

Les trois attaques se confondent dans les présentations et n’ont pourtant ni le même effet ni la même parade.

• Brouillage : du bruit dans la bande. C’est un déni de service. Le récepteur perd la poursuite et le dit. C’est l’attaque la plus fréquente et la moins grave, parce qu’elle se voit.
• Leurrage : des signaux fabriqués, cohérents entre eux, qui amènent le récepteur à calculer une position ou une heure fausse mais crédible. Aucune alarme native : le récepteur est satisfait.
• Retransmission différée (meaconing) : le signal authentique est capté puis réémis avec un retard. Les données sont vraies, bit pour bit. Seul l’instant d’arrivée est faux, et c’est justement l’instant d’arrivée qui fait la mesure.

Le schéma ci-dessous se lit ligne par ligne : ce qui compte est la dernière colonne, c’est-à-dire ce que l’exploitation voit (ou ne voit pas).

Le jugement à retenir : le brouillage est un problème de disponibilité, le leurrage un problème d’intégrité. Une architecture qui ne traite que le premier (un oscillateur de secours qui prend le relais quand le signal disparaît) reste entièrement ouverte au second, puisque le signal ne disparaît pas.

Ces attaques sont documentées publiquement. Les autorités de l’aviation civile publient des bulletins sur des zones de brouillage et de leurrage récurrentes, notamment autour de la Baltique et de la Méditerranée orientale. Émettre sur ces bandes est illégal ; cette page ne décrit que le mécanisme, la détection et la défense. Le brouillage des liaisons de télécommande des satellites eux-mêmes relève d’un autre problème, traité dans la page satellites et liaisons montantes.

Dépendance cachée au temps GNSS : horloges, réseaux mobiles, énergie, finance

Le GNSS est la dépendance que personne ne dessine sur le schéma d’architecture, parce qu’elle arrive par le toit. Un récepteur fournit une impulsion par seconde raccordée à l’UTC (temps universel coordonné) avec une exactitude de quelques dizaines de nanosecondes, pour le prix d’une antenne. Rien d’autre n’offre ce rapport, d’où sa présence partout.

Ce schéma montre une chaîne sans branche : tout ce qui est en bas hérite de ce qui entre en haut. PTP (Precision Time Protocol) distribue le temps sur le réseau local, mais l’horloge maîtresse ne fait que relayer ce que le récepteur lui dit. Quelques ordres de grandeur situent l’enjeu :

• Les réseaux mobiles de quatrième et cinquième génération en mode TDD (Time Division Duplex, émission et réception alternées sur la même fréquence) exigent un alignement de phase de l’ordre de plus ou moins 1,5 microseconde entre cellules. Au-delà, une cellule émet pendant que sa voisine écoute. Voir la page télécoms, itinérance et interconnexion.
• Les synchrophaseurs comparent des angles de tension entre postes distants. À 50 Hz, une erreur de temps d’environ 32 microsecondes suffit à consommer le budget d’erreur de 1 % admis sur la mesure. Voir SCADA eau et énergie.
• La réglementation européenne des marchés financiers (règlement délégué 2017/574) borne l’écart à l’UTC à 100 microsecondes pour le trading à haute fréquence.
• La diffusion DVB (Digital Video Broadcasting) en réseau monofréquence et, plus prosaïquement, la corrélation des journaux d’événements reposent sur la même source.

La position vient ensuite : aviation, maritime avec l’AIS (Automatic Identification System, qui rediffuse sans authentification la position calculée à bord), véhicules, drones, agriculture de précision. Les conséquences physiques sont traitées dans les pages automobile et aéronautique, ferroviaire connecté et véhicules connectés et flottes.

La source peut aussi se tromper toute seule. En janvier 2016, plusieurs satellites GPS ont diffusé pendant plusieurs heures un décalage erroné d’environ 13 microsecondes par rapport à l’UTC, à la suite d’une erreur côté segment sol. Aucun attaquant, et des récepteurs de temps mono-constellation en alarme sur plusieurs continents. La leçon vaut pour toute la suite : la source unique est le défaut, l’attaque n’en est qu’un révélateur.

Galileo OSNMA : ce que l’authentification du message de navigation protège

OSNMA (Open Service Navigation Message Authentication) ajoute une authentification aux données de navigation diffusées sur la composante E1-B du service ouvert Galileo. Le schéma repose sur TESLA (Timed Efficient Stream Loss-tolerant Authentication) : le satellite diffuse un code d’authentification calculé avec une clé symétrique encore secrète, puis divulgue cette clé plus tard. Les clés forment une chaîne de hachage à sens unique dont la racine est signée par une clé publique, que le récepteur doit détenir à l’avance.

Ce que cela garantit : les éphémérides et les paramètres d’horloge reçus ont bien été émis par le système Galileo. Un leurre qui invente un message de navigation est rejeté.

Ce que cela ne garantit pas :

• La mesure de distance. La position et l’heure se déduisent de l’instant d’arrivée du code d’étalement, qui reste public et non authentifié. OSNMA signe la lettre, pas le cachet de la poste.
• La retransmission différée. Le signal rejoué porte des données authentiques, la vérification réussit.
• Le brouillage. Aucune cryptographie ne fait remonter un signal au-dessus du bruit. Un brouillage ciblé peut même servir à forcer le repli du récepteur vers des constellations non authentifiées.
• Les autres constellations, si le récepteur les mélange sans pondérer la solution authentifiée.

Deux prérequis pèsent sur l’architecture. D’abord, TESLA suppose que le récepteur connaît déjà l’heure avec une incertitude bornée (quelques dizaines de secondes en fonctionnement nominal), faute de quoi un message rejoué après divulgation de la clé passerait pour frais. L’authentification de l’heure dépend donc d’une horloge locale de confiance au démarrage : la dépendance circulaire est réelle, et elle se traite par une horloge sauvegardée ou une source réseau authentifiée. Ensuite, la clé publique et sa racine de confiance se provisionnent et se renouvellent, ce qui en fait un objet de gestion de clés comme un autre (voir la gestion du cycle de vie des certificats).

L’état de service d’OSNMA et la liste des récepteurs compatibles évoluent : ils se vérifient auprès du centre de service Galileo avant tout engagement de conception. Quant aux services à accès restreint, PRS (Public Regulated Service) de Galileo et codes militaires GPS, ils chiffrent le code d’étalement lui-même et sont réservés aux utilisateurs gouvernementaux autorisés.

Position assumée : activer OSNMA dès que le récepteur le permet, et ne rien retirer de l’architecture pour autant. Une plaquette qui écrit « résistant au leurrage grâce à l’authentification » décrit une propriété du message, pas du récepteur.

Détection du brouillage et du leurrage GNSS : indicateurs et limites

Aucun indicateur ne suffit seul. La détection vient de leur croisement.

• C/N0 (Carrier-to-Noise density ratio, rapport entre la porteuse et la densité de bruit) : entre 35 et 50 décibels-hertz environ à ciel ouvert, variable selon l’élévation de chaque satellite. Une chute simultanée sur tous les satellites signe un brouillage. Des valeurs hautes et étrangement uniformes sur toute la constellation signent un leurre.
• AGC (Automatic Gain Control, commande automatique de gain) : le gain baisse quand la puissance dans la bande monte. C’est l’indicateur le moins cher et le plus précoce, parce qu’il observe la puissance avant toute corrélation.
• Cohérence multi-constellations et multi-fréquences : comparer les solutions calculées séparément par constellation et par bande (la bande basse autour de 1176 MHz en plus de la bande haute). Un écart entre solutions est une alarme, pas une moyenne à calculer.
• RAIM (Receiver Autonomous Integrity Monitoring) : test de cohérence sur des mesures redondantes. Conçu pour la panne d’un satellite, il laisse passer un leurre qui falsifie tous les signaux de manière cohérente.
• Position fixe connue : un récepteur de temps installé sur un toit ne se déplace pas. Une position calculée qui bouge est un signal d’alerte gratuit.
• Comparaison avec l’oscillateur local : un oscillateur de qualité ne saute pas d’une microseconde en une seconde. Tout saut de phase ou toute dérive de fréquence hors gabarit se rejette. Limite : un entraînement lent, plus petit que le bruit propre de l’oscillateur, passe sous ce seuil. Seule une source externe indépendante le révèle.
• CRPA (Controlled Reception Pattern Antenna, antenne à diagramme contrôlé) : une antenne à plusieurs éléments mesure la direction d’arrivée et creuse des zéros vers les sources d’interférence. Tous les « satellites » vus dans la même direction, c’est un émetteur unique. Efficace, coûteuse, encombrante, souvent soumise à contrôle d’exportation.

Ce que la détection ne donne pas : la bonne heure. Elle dit seulement de ne plus croire celle qui arrive. Le reste vient du repli.

Repli sans GNSS : maintien sur oscillateur, temps par fibre et sélection de sources

Le compromis central tient en une phrase : le GNSS offre une exactitude gratuite et universelle, payée par une dépendance radio unique que n’importe quel émetteur proche peut contester. La réponse n’est pas de s’en passer, mais de le rétrograder : une source qui discipline un oscillateur local et qui se fait contredire par d’autres, jamais une autorité.

Maintien (holdover). Privé de référence, l’oscillateur continue seul et dérive. Un OCXO (Oven Controlled Crystal Oscillator, quartz thermostaté) tient la microseconde pendant quelques heures ; un rubidium, de l’ordre de la journée ; un césium, bien plus longtemps, au prix d’un budget et d’un tube à durée de vie limitée. Ces ordres de grandeur varient selon le modèle et la stabilité thermique du local. Le maintien est un compte à rebours, pas une solution.

Temps par fibre. PTP depuis un autre site doté de sa propre référence, ou White Rabbit quand il faut descendre sous la nanoseconde. Aucune exposition radio, mais une dépendance à la symétrie des chemins et à un réseau de synchronisation cloisonné, PTP étant rarement authentifié en pratique.

NTP authentifié. NTP (Network Time Protocol) protégé par NTS (Network Time Security) apporte une origine authentifiée avec une exactitude de l’ordre de la milliseconde sur un réseau étendu. Insuffisant pour remplacer une référence à la microseconde, précieux comme témoin grossier et pour amorcer OSNMA. Le sujet est traité dans la page sécuriser NTP contre le spoofing et la dérive d’horloge.

Position. Pour un mobile : centrale inertielle (qui dérive elle aussi), odométrie, balises au sol. eLoran (enhanced Long Range Navigation), signal terrestre basse fréquence de forte puissance, est une alternative crédible là où il est diffusé ; sa disponibilité dépend du pays et se vérifie avant de compter dessus.

Cet arbre se lit de haut en bas, chaque ligne étant un état moins confortable que la précédente. Deux règles le rendent valide. Il faut trois sources indépendantes pour désigner celle qui ment ; avec deux, on constate un désaccord et rien de plus. Et deux récepteurs sur le même toit comptent pour une source : même bande, même émetteur perturbateur, même erreur.

Le choix entre gros oscillateur et fibre dépend d’une seule question : quelle exactitude doit tenir, pendant combien de temps, sans GNSS ? Quelques heures, le temps d’une intervention : un rubidium suffit. Plusieurs jours de brouillage régional : seule une source non radio tient la distance.

Exemple : règle de décision en cas de désaccord entre sources de temps

L’exemple décrit la logique d’un sélecteur placé devant une horloge maîtresse. Les seuils sont fictifs et servent d’illustration ; les vrais se déduisent du budget d’erreur de l’application servie.

Trois points portent la valeur de cette règle. Le GNSS n’est jamais suivi sur sa seule parole : il doit s’accorder avec la fibre, et l’oscillateur local arbitre à court terme. Le retour vers le GNSS après un incident exige une période d’observation stable, sinon un leurre intermittent fait osciller toute la chaîne. Enfin, l’horloge maîtresse annonce sa dégradation aux clients, et ce dernier maillon est le plus souvent absent : des équipements qui ignorent la classe d’horloge reçue continuent de servir une heure périmée avec un aplomb intact.

Conditions d’exploitation d’une chaîne de temps GNSS

• Inventaire des récepteurs. Ils se cachent dans les serveurs de temps, les stations radio, les relais de protection, les encodeurs de diffusion, les boîtiers télématiques. Tout équipement relié à une antenne sur le toit en est un, y compris celui installé par un intégrateur dont plus personne n’a le numéro.
• Prérequis matériels. Récepteur multi-constellations et multi-fréquences, mode position fixe pour les sites, micrologiciel compatible OSNMA, antenne dégagée vers le ciel et masquée vers l’horizon.
• Supervision. Remonter le rapport signal sur bruit par satellite, le niveau de gain, le nombre de satellites par constellation, l’écart de phase avec l’oscillateur, l’état de maintien et sa durée. Sans historique, impossible de distinguer une dérive lente d’un comportement normal.
• Test de perte. Débrancher l’antenne en fenêtre de maintenance (opération légale, contrairement à toute émission), mesurer la dérive réelle, vérifier les alarmes et la réaction des clients. Un maintien jamais testé relève de l’acte de foi.
• Consigne écrite en cas de désaccord. Qui décide, sur quel critère, quel service passe en mode dégradé, à partir de quel écart. La décision ne s’improvise pas pendant l’incident.
• Clés et secrets. Clé publique OSNMA et son renouvellement, certificats des serveurs NTS, accès d’administration des récepteurs.
• Micrologiciels. Le compteur de semaines GPS repasse à zéro toutes les 1024 semaines, et les secondes intercalaires se gèrent en amont. Un récepteur jamais mis à jour finit par annoncer une date d’une autre époque.
• Sauvegarde et reprise. Configuration des récepteurs, délais de câble calibrés, position de référence du site, paramètres du sélecteur.

FAQ

Un récepteur multi-constellations protège-t-il du brouillage ?

Non. Les signaux ouverts des différentes constellations partagent la même bande haute, et un bruit large les couvre toutes. Le multi-constellations protège d’une erreur propre à un système, comme l’anomalie GPS de 2016. Contre le brouillage, c’est le multi-fréquences qui aide, et encore, tant que l’émetteur ne vise qu’une bande.

OSNMA rend-il le leurrage impossible ?

Non. OSNMA empêche de forger le contenu du message de navigation Galileo. La mesure de distance reste falsifiable, la retransmission différée passe la vérification et le brouillage reste entier. C’est une couche de plus, pas un changement de modèle.

Comment tester la résistance d’une installation sans émettre ?

En coupant la référence (antenne débranchée) pour valider le maintien et les alarmes, et en injectant des scénarios par câble en laboratoire, sans rayonnement, pour valider la détection. Toute émission dans ces bandes hors cadre autorisé est illégale et met en danger des usagers qui n’ont rien demandé.

🐝 Ce qui arrive si on s’en passe

Sans surveillance ni source de comparaison, une heure décalée entre dans le système d’information avec le statut de vérité. Les journaux d’événements de sites différents ne se recoupent plus, et une reconstitution après incident ordonne les faits à l’envers. Les contrôles fondés sur une durée de validité (certificats, jetons d’accès, fenêtres anti-rejeu) acceptent ce qui est expiré ou refusent ce qui est valide, selon le sens du décalage. Les horodatages à valeur de preuve deviennent contestables sans que rien ne permette de dater le début de l’erreur. Et faute de mesure de dérive, personne ne sait combien de temps l’installation tient sans signal : la réponse arrive le jour de la coupure.

🦫 Explication de la marmotte 🍫

Des satellites diffusent en permanence leur position et l’heure exacte. Un récepteur au sol mesure le temps que met chaque signal à arriver, en déduit sa distance à chaque satellite, puis calcule où il se trouve et quelle heure il est. Ce signal arrive extrêmement faible, et sa version ouverte à tous ne contient aucune preuve d’origine. Un émetteur proche qui envoie du bruit sur la même fréquence empêche le récepteur de capter : c’est le brouillage, et la panne se voit. Un émetteur qui fabrique de faux signaux fait calculer une position ou une heure fausse sans déclencher d’erreur : c’est le leurrage, et il ne se voit pas. Or cette heure règle les antennes de téléphonie, les réseaux électriques et les horodatages bancaires. Le système européen Galileo ajoute une signature qui prouve que les données viennent du vrai satellite, mais pas que le temps de trajet mesuré est juste, et elle ne peut rien contre le bruit. La défense repose sur trois choses : surveiller la puissance et la cohérence de ce qui est reçu, garder sur place une horloge très stable qui continue seule pendant des heures ou des jours, et comparer avec une autre source d’heure arrivant par câble. Avec trois sources indépendantes, celle qui contredit les deux autres est écartée. Avec deux seulement, on sait qu’il y a un problème, pas laquelle se trompe.

À lire aussi

• L'heure comme dépendance de sécuritéCertificats, Kerberos, jetons, journaux, codes à usage unique : presque tous les contrôles de sécurité supposent une horloge juste, et presque personne ne traite l'horloge comme un actif à protéger. Le temps est une dépendance critique au même titre que le DNS, et il se défend avec les mêmes réflexes : authentifier la source, ne jamais en croire une seule, mesurer l'écart.
• Accès hertziens, mobiles, satellites et small cellsComprendre les réseaux d’accès hertziens et mobiles : générations cellulaires, satellites, small cells, backhaul, handover et architectures mobiles modernes.
• Médias, câbles, fibres, radio et équipements physiquesComprendre les supports de transmission et les équipements physiques pour éviter de diagnostiquer une panne logique quand la cause est électrique, optique, radio, mécanique ou environnementale.

Pages voisines

La citent

• Sécuriser la traçabilité RFID et IoT du fret
• Edge, MEC, Fog, Cloud-RAN et infrastructures distribuées

Brouillage et leurrage GNSS, détection, OSNMA et repli du temps

Elle cite

• ⇄Lien dans les deux sens :Comment concevoir la sûreté cyber automobile et aéronautique
• ⇄Lien dans les deux sens :Navigation inertielle et filtre de Kalman quand le GNSS est brouillé
• ⇄Lien dans les deux sens :Sécuriser les satellites et les liaisons montantes
• ⇄Lien dans les deux sens :Sécuriser NTP contre le spoofing et la dérive d’horloge
• Sécuriser l'accès des flottes de véhicules connectés
• Sécuriser la signalisation ferroviaire connectée
• Inventorier les objets IoT oubliés sur le réseau
• Itinérance mobile et confiance entre opérateurs
• Sécuriser un SCADA d’eau et d’énergie
• Gestion du cycle de vie des certificats à grande échelle

⇄ : les deux pages se citent l’une l’autre.