根据美国网络安全和基础设施安全局 (CISA) 的说法，关键基础设施对全球定位系统 (GPS)/全球导航卫星系统 (GNSS) (GPS/GNSS) 进行时间分发的依赖程度显著增加。虽然基于 GNSS 的时间对关键基础设施的运行变得至关重要，但 GNSS 信号本身的安全性也越来越容易受到各种干扰和欺骗威胁，包括有意和无意的威胁。.
鉴于全球导航卫星系统（GNSS）信号本身的脆弱性，保护GNSS接收的关键在于提高对实时GNSS信号特征的可见性，包括进行GNSS信号测试和测量以及识别异常情况。虽然这项工作以前需要在实验室环境下进行，且故障排除需要丰富的GNSS专业知识，但最新的性能监控软件解决方案为操作人员提供了一种简便的方法来了解GNSS接收的整体健康状况。.
事实上的全球时间标准。
根据美国网络安全和基础设施安全局 (CISA) 的说法，由于成本相对较低且应用广泛，GPS 已成为许多商业用户的实际时间标准。使用 GPS 等技术的全球导航卫星系统 (GNSS) 设备也日益普及。直到最近，GPS 设备还被视为简单的无线电接收器。然而，这些设备实际上是计算机，面临着类似的安全风险。这些威胁包括拒绝服务攻击（干扰）和向系统中引入错误数据（欺骗）。软件定义无线电的出现提高了此类攻击的易用性并降低了成本。应努力确保 GPS 设备的精确稳定同步。GNSS
信号本身非常脆弱。GNSS 干扰通常分为两类：“干扰”，即通过在同一频率上生成本地信号来压制 GNSS 信号，使其无法被检测到；以及“欺骗”，即生成虚假的 GNSS 信号并使其跟随接收器。虚假信号包含不准确的信息，例如错误的位置数据。GNSS
信号非常微弱，通常只有在视野开阔、天空清晰的情况下才能探测到。由于信号必须从距离地球表面20100公里以上的轨道卫星传播很远的距离，因此GNSS信号到达地球表面时的功率非常低（通常为-133 dBm）。
目前，全球范围内大范围的干扰报告屡见不鲜。此外，人为威胁并非唯一需要关注的脆弱性因素（见图1）。天气、大气条件甚至GNSS卫星控制系统的运行都可能造成误差，从而影响GNSS信号的可靠接收。这种情况在全球范围内均有发生，例如2016年GPS信号中断，以及最近2019年伽利略系统信号中断。
抵御这些威胁的关键在于可视性，而可视性始于监测。
从监测到特征分析：
GNSS 监测是第一步，它为网络运营商提供所需的全局视角，以便检查其关键基础设施。当出现异常或中断时，最迫切的需求是快速确定事件是局限于特定位置、影响区域范围，还是由全球性问题引起。如果影响仅限于单个位置，则原因很可能是多径干扰、局部天气异常或潜在的干扰/欺骗威胁（例如，车辆携带干扰设备）。如果影响多个位置
，则问题可能更为复杂，确定根本原因也更加困难，尤其是在 2016 年 GPS 异常和 2019 年 Galileo 中断等案例中。
一旦确定了问题的范围，下一步就是深入研究细节。这需要对信号进行更具体的表征，以找出根本原因。GNSS
模拟器通常具有高度精密的记录功能，GNSS 接收机及相关设备的开发商多年来一直使用这些功能来测试和测量 GNSS 信号。这些设备在实验室甚至生产环境中都非常有效；然而，这些仪器价格昂贵，并且需要训练有素的仪器专家操作。现在已有软件可以帮助网络运营商简化这些重要的测量和诊断功能。例如，Microchip 的 TimePictra® 及其 BlueSky 性能监控功能就是一个例子。下表 1 列出了一些可以使用该功能跟踪的信号指标和特征示例。
表1：GNSS信号的典型特征
时间异常的可见性
尽管GNSS系统最广为人知的应用是“导航”，但GNSS的基本运行完全依赖于精确的时间。在判断GNSS接收是否正常工作时，测量预期信号和接收信号之间的相位差是一种有用的信号特征，可以直观地显示这些特征（见图2）。
图 2：GNSS 接收相位测量。
正常情况下，相位偏移通常应在 ±50 ns 范围内，如上图所示。鉴于可接受的性能范围如此之小，检测定时异常可能相当困难，而这正是防范 GNSS 漏洞的最重要技术之一。定时异常可以是渐进的、突发的或复杂的，例如重复的相位跳变。定时误差会造成严重的干扰和混乱，因为此类误差会沿着大型数据中心或移动交换中心运行的底层定时分发系统向下传递。
下图显示了一个定时异常示例，其中产生了约 150 ns 的重复相位偏移（见图 3）。在这种重复事件的情况下，典型的 GNSS 接收/定时系统可能会出现时而松弛时而突出的情况，从而对关键基础设施的运行造成重大干扰。
位置异常的可见性：
对于关键基础设施，GNSS 天线通常安装在视野开阔的固定位置，其精确位置由接收器中预设的坐标确定。当 GNSS 接收器用于授时时，必须精确识别天线位置，以确保尽可能高的授时精度。任何类型的偏移和/或错误位置数据都会降低 GNSS 接收器的授时性能，并最终导致其完全失去跟踪卫星的能力。
在以下示例中，正常情况下，GNSS 接收器接收到的位置与 GNSS 天线的测量位置相比大约有 1-5 米的偏差。图 4 中的第一个图显示了正常的位置波动；然而，每天还会出现一次大约 15-20 米的位置偏差。下图显示了与第一个图中的位置偏移同时发生的大约 100 ns（峰峰值）的相位偏移。这种位置偏移很可能是多径干扰造成的，它会影响授时性能。将多个 GNSS 信号的特征一起显示出来，以帮助网络运营商更好地了解因果关系。
图 4：导致相位跳变的位移偏差
欺骗攻击的可见性：
欺骗攻击难以检测，因为它们涉及篡改GNSS数据本身。与数据网络威胁类似，GNSS欺骗是一种持续且不断演变的威胁，需要能够更新的防御系统来抵御新的威胁。
如图5所示，GNSS接收机在正常情况下跟踪六颗卫星，随后卫星开始提前消失。大约三分钟后，所有卫星都无法被跟踪。这种卫星的快速消失属于异常情况，它简单展示了欺骗攻击如何给试图跟踪卫星的GNSS接收机造成混乱。
保护所有设备
安全已成为关键基础设施运行最重要的需求。任何连接到关键基础设施的设备都可能成为攻击目标，因此必须尽可能确保其安全性。由于新威胁不断涌现，加强全球导航卫星系统 (GNSS) 的安全是一个持续的过程。与网络安全漏洞一样，新的 GNSS 漏洞也在不断增加，而 GNSS 信号可见性对于确定 GNSS 漏洞的根本原因至关重要，尤其是在轻微故障演变成更严重的问题之前。
当检测到 GNSS 漏洞时，当前的性能监控软件无需派遣网络运维人员前往高层建筑屋顶检查天线，即可监控 GNSS 接收质量。这使得关键基础设施运营商能够快速确定问题是局限于特定位置还是影响更广泛的地理区域。此外，它还支持缓解流程的下一步，为运营商提供关键性能指标，从而获得采取快速且经济高效的行动所需的可见性。
作者简介：
Greg Wolff 自 1988 年以来一直从事授时和频率行业，是早期将网络授时解决方案商业化应用于全球主要关键基础设施运营商的先驱之一。Greg 积极参与支持 PNT（位置导航和授时）弹性的新兴标准的制定，最近，他作为 Microchip Technology 频率和时间系统团队的一员，推出了 BlueSky GNSS 防火墙。
作者：Greg Wolff， Microchip
