原创 TSA HSM时间戳服务器

 2022-3-17 09:33  1682 12 2 分类: 通信文集: 时间同步

当今的时间安全问题

1、合格时间和GNSS的问题

今天，GPS 卫星信号仍然是最常见的时间来源。自1995年以来，民用工业逐渐采用GPS或其他基于GNSS的解决方案。随着时间的推移，IT行业拥有越来越多的卫星接收器，它们经常相互干扰(由于有源天线)。管理如此多的卫星接收器也变得很困难。首先出现了基于GPS同步异常的现象，导致IT系统出现故障。在越来越多的情况下，事实证明，由两个或多个独立的GPS接收器同步的相关IT系统出现时间差异，因此了提供了不同的RFC3161时间戳。这就造成了非常严重的问题。

2、GNSS的干扰/欺骗性攻击

此外，除了欧洲的GALILEO，其他所有的GNSS系统(GPS, GLONASS,BEIDOU, IRNSS)都是军事系统，根据地缘政治局势，不能保证接收到它们的信号。从GNSS收到的数据也可以很容易被操纵，从地球上制造虚假的发射。这就是所谓的欺骗。人们还可以干扰原始的卫星信号，这被称为干扰，或者故意延迟再重传(这就是它与干扰或信号反射的不同之处)，即所谓的模拟干扰(meaconing)。今天，行业的GNSS信号非常容易收到这种操纵和故意的网络攻击。对整个工业基础设施和对各国至关重要的基础设施的攻击也越来越多。

3、当今同步与网络安全密切相关

因为– 与入侵内部网络相比，通过远程破坏同步过程来破坏整个IT架构的工作更加简单。如果系统易受其影响，那么剩下的破坏实际上就会随着而来。时间操纵可能会扰乱任何系统日志中记录的时间的业务、合同和时间顺序。在这种情况下，就会不可挽回地失去分析错误和确定故障的原因的机会，这就为黑客提供了理想的条件，转移了对故障背后真正的攻击原因的注意力。如今，整个网络安全模式已经改变，“时间同步攻击”和“时间延迟攻击”类的黑客攻击对于高度自动化、依赖GNSS的行业来说是最有可能和最危险的。

TSA HSM时间戳服务器

Elproma TSA 确保时间戳的防篡改创建和真实性。它是需要证明文档或数据在特定时间点的存在和状态的业务应用程序的理想硬件安全模块(HSM)网络设备。时间戳服务器(TSA)确保时间戳数据对于这些和类似的应用是真实的。时间戳能够随时验证，带时间戳的数据是否与时间戳记录的时间点上的形式完全一样。次外，时间戳(如果存在的时间比TSA长)仍然能够在没有TSA验证数据（文档文件或数据流）的情况下被验证：

原创性– 文件，视频流，图片等
完整性– 从数据被窃取时说什么也都没用
年表的不可否认性– 证明存在历史的瞬间

主要参数

内含HSM
兼容RFC3161
FIPS 140-2 Level3 Level4
RSA 4096 bits
X509 PKCS#11 PKCS#7
SHA-256, SHA-2 MD5
合格的UTC参考时间

TSA的应用领域

长期的文件归档
电子认证/电子签名
招投标电子平台
税务局软件平台
公证和法律软件平台
彩票、在线投注和游戏
区块链/代币智能合约
新的加密货币系统，
有限的花钱的时间
医药生产标签
疫苗的全球分销
食品、化学、水的全球分销

合格时间的重要性不亚于TSA使用的RSA算法的力量。目前，来自GNSS的时间非常容易被操纵，在时间戳中提供虚假的日期和时间。

TSA时间戳实现理论

1、时间戳操作理论

任何数据的合格时间戳RFC3161过程都从客户端开始，客户端在其基础上形成一个[HASH] 指纹，这是一个唯一的字节序列，用于“不可否认”的识别原始数据。指纹HASH的计算使用许多可用数学函数中的一个来执行；例如，SHA-256 或SHA-512 等。从现在开始，任何改变，即使是原始数据中的一个比特位的信息，都需要从一开始就开始操作。这就是所谓的“密封”信息，它是公认的数据属性完整性的功能的一部分。因此，在收到TSA (时间戳机构) 服务器发回的完整的RFC3161时间戳之前，原始客户端数据应保持不受干扰的原始形式等待。

[HASH] 指纹被附加信息扩展，并通过网络发送到TSA 服务器。发送的数据流长度大约为500字节。它是使用HTTPS协议发送。在收到来自TSA客户端带有[HASH] 指纹的请求后，TSA服务器对收到的数据进行补充，增加有关参考UTC日期和时间的信息[TIME]. 为了保证合格的时间戳，参考UTC应得到国家计量院(NMI) 的支持，使用经过认证的NTP 或IEEE1588协议。在一些限制条件下，参考UTC时间也可以从GNSS卫星上获得。根据US指令EO13905, GPS 一直处于干扰和欺骗攻击的风险中，因此使用它来同步关键基础设施需要再次追踪到NMI的UTC。在USA这一程序是由NIST负责的。下一步TSA添加带有公钥[CERT] 和其他额外的[DATA]证书，并计算出准备好的反应的新指纹[HASH”] 。最后，TSA从内部HSM(硬件安全模块)读取一个PRIVATE密钥，并对所有准备好的数据[HASH] + [TIME] + [CERT] + [DATA] + [HASH”] 进行电子签名，创建合格的时间戳。结果通过网络发回给客户端，大约有1500字节，由客户端作为一个单独的文件与原始数据文件一起存储。

2、时间戳验证理论

时间戳验证过程可以在任何时候执行，甚至在多年之后，而且验证不需要TSA服务器。为了验证，需要原始文档(文件、图片、视频)和包含证书及公钥的时间戳文件。验证过程包括测试TSA的身份(认证)和时间戳数据的完整性。它是通过使用证书[CERT]中包含的TSA公钥来完成的。独立地，客户端从存储的原始时间戳数据中计算(重新计算)[HASH’] 指纹。如果它与检索到(先前发送的) 的[HASH”] 相匹配，则TSA认证和时间戳数据的完整性得到保留和可靠。否则，就会返回一个错误ERROR DATA INTEGRITY”。

最后，需要检查验证的时间戳是否是指原始数据(文件),这基本上是验证过程的主题。因此，客户端根据原始数据(文件)的存档、未更改的副本重新计算新的[HASH’]主要指纹代码，并将结果与从时间戳中获取的[HASH] 代码相比较。

只有这种匹配才能确保时间戳和原始文件的相互对应。通过这种方式，基于PKI属性、TSA认证、时间戳完整性、由时间戳可靠地指定的历史时刻文档以给定形式存在的不可否认性，实现了完整的验证。