sou · GVB397 · 2008-01-01 00:00:00 — Det är ofta först vid haverier, vid överklaganden eller liknande hän- delser som behovet av känd tidsnoggrannhet kan bli uppenbar och detta skapar stora kostnader som skulle kunna undvikas. Behovet av spårbar tid och frekvens kan uttryckas på följande sätt: Spårbar tid för juridisk nytta. Spårbar tid i samband med fel och funktionsstörningar. Spårbar frekvens (takt) i kommunikation med andra system- komponenter. Spårbar tid för att säkerställa ansvar i affärsrelationer eller rättsprocesser som vid felaktig tid kan äventyra rättssäkerheten i samhället. En hög grad av automatisering är också starkt kopplat till tid och frekvens. Det medför att en del av säkerhetsarbetet i organisationer och företag alltmer inriktas på metoder för att förhindra störningar och manipulering av tid och frekvens vilket utgör ytterligare en aspekt. En enkät genomförd bland medlemmarna i för- eningen ISOC-SE (The Swedish Chapter of the ) visade att av dem som besvarade enkäten ansåg att tid är viktigt. Merparten av dem som svarade angav också behov av en tämligen hög noggrannhet med en önskad avvikelse mot UTC som ligger lägre än 100 ms, se figuren nedan. Figur 3 som visar behovet av tidsnoggrannhet bland medlemmarna i ISOC-SE Ett litet fåtal ansåg sig veta att det fanns legala krav på tid i verksamheter. Flertalet som besvarat enkäten saknar egen NTP- server, de hämtar tiden via GNSS. De mål som formulerades i olika utred- ningar och propositioner inom tidhållning för Internet har till stora delar kunnat uppfyllas. De nationellt planerade tidsservrarna har trafikutbyte med över 900 000 olika användare (IP-adresser) , från ett tjugotal olika länder och för SP:s tidsservrar har t.ex. ökningen i trafik varit . Efterfrågeutvecklingen kan förväntas öka i minst samma omfatt- ning framöver i takt med utvecklingen av IT- samhället. För tidgivare som Fröken kan flera lyssna för att få korrekt tid. En NTP-server däremot svarar på varje enskild för- frågan om tid och detta görs dessutom i regel automatiskt med regelbundna intervaller oberoende av tid . En ökad belastning påverkar förr eller senare noggrannheten hos avgiven tid. Den efterfrågeutveckling referensgruppen ser, bedöms öka ännu mera och den utvecklingen kommer inte att kunna hanteras med nuvarande system. En anpassning till utvecklingen och behoven behöver ske. Ett större antal servrar eller kraftigare servrar kan svara på fler frågor från fler användare utan att preci- sionen äventyras p.g.a. överbelastning. 4.2Användare och deras krav på tid och frekvens Exempel på användare av tid är kryptosystem, elektroniska signa- turer, diarieföringssystem, loggning, positionering, styrning av industriella processer, styrning av mobilradionät, utsändning av digital radio och TV. Frekvens är viktigt t.ex. för taktgivning för den ofta synkrona teknik som används i fibernäten för telekommunikation, såsom Synchronous Digital Hierarchy (SDH). Frekvensen i SDH-nät förs ofta vidare till ändutrustningen, exempelvis så synkroniseras de flesta basstationer för mobiltelefoni med frekvensen från det SDH-nät som transporterar informationen till basstationen. För olika användare föreligger det stora skillnader mellan dels krav på noggrannhet och dels jämförbarhet när det gäller tid. Det är viktigt att klockan går rätt, men det är minst lika viktigt i många fall att veta hur mycket fel den egna klockan går (i förhållande till UTC). Det är även viktigt att veta vems klocka man får tiden från, dvs. det ska gå att få tid som är signerad så att det blir möjligt att verifiera källan för tid. I de allra flesta fall är det tillräckligt att veta vad klockan är när, för att hinna till tåget eller passa en kritisk tid. I de elektroniska system som allt mer styr viktiga samhällsfunk- tioner, incidenthantering m.m. och där systemen har att hantera miljontals filer måste tidskraven ställas högre, i storleksordningen 50 ms till 100 ms för att ha försumbar påverkan för de tillämpningar referensgruppen kan bedöma. Det underlättar för alla inblandade parter om de som behöver jämföra sina tidsangivelser med varandra gör det mot en gemensam och spårbar tidskälla, i stället för att tvingas göra det bilateralt med varje enskild part. Detta utgör i själva verket också grunden för att UTC finns. ställs det inte några formella krav på användning av spårbar tid i någon verksamhet som referensgruppen har kunnat finna. Det är dock referensgruppens uppfattning att sådana krav kommer att behöva ställas i olika sammanhang som t.ex. med utgångspunkt från olika EU-direktiv som EuroSOX, lagring av trafikdata och avlyssning för brottsbekämpning, tidsstämpling av dokument, transaktioner, annat utbyte av loggdata osv. För EuroSOX som är en spegling av den amerikanska Sarbanes- Oxley Act krävs bl.a. system för Information Lifecycle Manage- ment. I detta krav ligger implicit att företag och organisationer på ett kvalitetssäkrat sätt måste kunna relatera handlingar och händelser i tidshänseende, datum och klockslag. EuroSOX är ett EU-direktiv som gäller men berörs flera svenska företag med export till , som t.ex. läkemedels- industrin. För flera områden inom telekommunikation används olika tekniker/protokoll där det är viktigt att kommunikationsnäten har samma takt, att de är synkroniserade. För att olika operatörer ska kunna kommunicera med varandra räcker det inte att takten är rätt inom det egna nätet utan takten måste vara tillräckligt bra även mellan nät (detta gäller både på det nationella planet och internationella då kommunikationen inte ser några gränser). Inom den internationella teleunionen, ITU, har en rekommendation utarbetats (G.811 Timing characteristics of primary reference clocks) som formulerar de minimikrav som bör ställas på tidskällor som används som primära referensklockor i synkroniserade nätverk. G.811 ställer krav både på klockkvalitet och på spårbarhet till UTC. 4.3Framtida förväntningar för utvecklingen av behov och krav I följande text redovisar referensgruppen några exempel på områden där gruppen uppfattat att det finns förväntningar som påverkar behovet av och kraven på tillgång till spårbar och robust tid och frekvens. och har antagit ett direktiv om lagring av trafikdata. Genom direktivet förbinder sig medlems- länderna att lagra data från datorer och telefoner . Syftet är att uppgifterna ska kunna användas i brottsutredningar. Direktivet ska vara införlivat i medlemsländerna . För Internetdata ska lagringen vara på plats . Rent tekniskt är det enligt referensgruppens uppfattning tämligen meningslöst att ställa krav på lagringstid om det inte går att lägga fast tidpunkten för när själva händelsen inträffar. Krav som t.ex. att kontrollera tidpunkten för händelser mot fröken vid brottplatsundersökningar är inte tillfyllest. Med tanke på den framtida utvecklingen med bl.a. EU-direktivet EuroSOX och de oerhört stora datamängder det kommer att handla om blir det praktiskt taget omöjligt att använda Fröken som referens. Mängden övervakningskameror som installeras ökar successivt och allt snabbare. Bilder sparas en bestämd tid för att kunna användas vid utredning av en eventuell händelse i efterhand. För att detta ska vara kvalitetssäkrat och juridiskt hållbart måste bilder och övriga data tidsstämplas. ställs inga krav på dessa tidsstämplars kvalitet. Med tanke på den utveckling vi kan se framför oss där dels antalet övervakningssystem växer och där de dessutom i allt större utsträckning kommer att länkas samman till lokala och regionala system finns det enligt referensgruppens uppfattning enbart en rimlig teknisk lösning, dvs. att samtliga övervakningssystem är spårbara till UTC med en fastställd noggrannhet och robusthet. Om inte kommer rättsäkerheten äventyras då man inte med säkerhet kan följa ett tidsförlopp. En person kan mycket väl bli misstänkt för en händelse bara för att tidsstämpeln var felaktig (något som för övrigt skedde i )TPF1FPT. Med en korrekt tidsstämpel är det dels möjligt att direkt avföra en person från misstanke men å andra sidan också möjligt att följa en person i stadsmiljö för att kunna binda denne till en händelse. innebär avsaknaden av regler för tidsstämplar och deras noggrannhet stora olägenheter t.ex. vid brottsutredningar. Ett exempel på detta är mordet på utrikesminister där de direkta tidsstämplarna var oanvändbara och det först efter ett omfattande tekniskt utredningsarbete i efterhand gick att koppla alla varierande tidsstämplar till varandra så att de bilder som togs av övervakningskameror på platsen för mordet accepterades som bevismaterial. Den närmast explosionsartade utvecklingen när det gäller antal övervakningssystem som installeras på ett stort antal ställen måste ha rätt tid från början för att undanröja all problematik som har med tid att göra så att analyser kan fokuseras på verkliga händelse- förlopp. Vägtullar är ännu ett område där korrekt tid är viktigt men ur ett annat perspektiv. Försöken med vägtullar i (som återinförts ) har olika taxenivåer beroende på en tull passerades. För att bilisterna ska betala rätt avgift vid rätt tillfälle krävs att använda tidsstämplar är både kvalitets- säkrade och robusta på så sätt att använda tidskällor är spårbara till UTC och att de är driftsäkra vid t.ex. elavbrott. Utvecklingen av e-tjänster ökar i samhället och inom många områden är tillgång till korrekt tid väsentlig för att tjänsterna ska fungera på avsett sätt. Det kan handla om budgivning vid köp av varor eller tjänster, men också skatteuppbörd eller överklaganden, alla händelser som är relaterade till en sista tidpunkt. marginalerna är på rätt sida lär inga tvister uppstå men i närheten av tidsgränserna kan problem uppstå. Att lägga till en marginal hjälper inte då det alltid kommer att uppstå nya tvister runt den nya tiden. För att följa upp ekonomiska transaktioner, både nationellt och internationellt är det avgörande att veta vad tiden är. Om inte tiden är rätt inom satta marginaler upphör transaktionerna att fungera. I samband med brottsutredningar, t.ex. då stora ekonomiska värden flyttas från ett konto till ett annat och från ett land till ett annat ger tidsstämplar oumbärlig information för att följa upp kapital- strömmarna. Samma förhållande gäller också insiderbrott där tids- stämplar är viktiga vid utredningar. På liknande sätt som för ekonomiska transaktioner spelar tids- stämplar en viktig roll vid spårning av dataintrång och virus- attacker. Även här handlar det om att följa upp händelser på en global arena. Dessutom går det inte att utesluta attacker för att förvanska tid för att avsiktligt försöka undanröja bevis. 4.3.7Tid och frekvens vid svåra påfrestningar på samhället Eftersom det är viktigt för användning i tidskritisk produktion att tid skall kunna hämtas från NTP-servrar vid flera knutpunkter, är dessa också byggda för största möjliga uthållighet. Tillgången till tid behöver i den miljön vara avbrottsfri. Förmedling av spårbar tid och frekvens behöver säkerställas och olika delar av landet bör vara självförsörjande i händelse av svåra påfrestningar , t.ex. omfattande tekniska driftstörningar, medvetna attacker, krissituationer i samhället eller beredskapssituationer. Det är fram- för allt i situationer när det kan tänkas att det finns omfattande störningar i näten för elektronisk kommunikation som det är viktigt att det finns spårbar tid att hämta på ett distribuerat sätt. Med svåra påfrestningar på samhället i fred avses olika slag av extraordinära situationer där det uppstår allvarliga störningar i viktiga samhällsfunktioner och där det krävs att insatser från flera olika myndigheter och organ samordnas för att kunna hantera situationen och därmed begränsa konsekvenserna. Referens- gruppens bedömning är att sådana påfrestningar kan ha sin grund både i slumpmässiga faktorer som t.ex. klimatrelaterade faktorer, naturkatastrofer, tekniska fel eller omfattande olyckor, och i mer organiserade och planerade faktorer som t.ex. terrorhandling eller annan avancerad brottslighet som avsiktligt försöker skada och påverka samhället. Vid höjd beredskap och i krig utgör den tekniska infra- strukturen ett potentiellt mål för sabotörer inför ett väpnat angrepp eller för direkta militära insatser under ett sådant angrepp. Viktiga samhällsfunktioner har över tiden kommit att bli mycket beroende av tillgång till spårbar tid- och frekvenssynkronisering. Flera av dessa funktioner skulle få omfattande problem om till- gången till sådan tid ströps, vissa skulle sannolikt avstanna helt. Listan över sådana system går att göra lång. Referensgruppen lyfter här bara fram några exempel för att ge en bild av bredden i problematiken: transaktionshanteringssystem för tidsstämpling av transaktioner signalsystem för trafikplanering och säkerhetsarbete flygledningssystem för trafikplanering och säkerhetsarbete, även internationell luftfart Gemensamt radiokommunikationssystem för skydd och säker- het, , för dess tekniska funktion Svenska Kraftnäts och andra nätbolags driftövervakningssystem för att övervaka och styra eldistribution SWEPOS – Lantmäteriets referenssystem för positionering och som används för mark- och anläggningsarbeten lokaltrafik och vägtullar för trafikplanering, säkerhetsarbete men också betalningssystem med tidsgränser för olika taxor Basstationer för mobiltelefoni för teknisk funktion Gatubelysningsautomatik för styrning, trafiksäkerhet men också energihushållning Frekvensnoggrannheten för taktgivning i sådana nät är specificerad i olika standarder. När det gäller noggrannheten för olika tillämpningar finns inte motsvarande standarder och som regel avstannar inte en kommunikation eller transaktion även om en tidsstämpel är felaktig. Den stora olägenheten och de stora kostnaderna uppstår i stället kanske främst vid olika incidenter eller driftstörningar då olika tidsstämplar måste justeras för att kunna relateras till varandra. Om det handlar om mycket stora datamängder, om miljontals datafiler är den enda rimliga lösningen att ha tillräckligt rätt tid från början. Här måste enligt referensgruppens uppfattning samhälle och myndigheter gemensamt utveckla rekommendationer eller regler. Att spårbar tid fritt kan hämtas över Internet med tekniken Network Time Protocol (NTP) från atomur i samtliga större nationella knutpunkter för Internet i är så vitt referens- gruppen kan bedöma inte tillräckligt känt eller utnyttjat bland svenska användare. 4.4.1System baserade på GNSS Användarna saknar som regel kunskap om frågor som berör robusthet och detta visar sig ofta genom att användare som köper en egen tidsserver nästan undantagslöst tar sin tid från GNSS. Kostnaden för en sådan lösning är i storleksordningen 50 000 kro- nor men innebär dels ett ensidigt GNSS-beroende och eventuellt också tekniska kompetensproblem den dag då utrustningarna blivit föråldrade eller behoven ser annorlunda ut. I de allra flesta fall är en alternativ lösning att konfigurera användarnas datorer så att de hämtar tid från flera tidsservrar med dokumenterad noggrannhet och robusthet. Någon kostnad i hårdvara finns inte för detta alternativ och den långsiktiga kompetenshållningen och anpass- ningen till nya behov är förhoppningsvis tillfredsställande löst som ett resultat av denna utredning. Inte någon av de kommersiellt tillgängliga GNSS-baserade NTP-servrarna innehåller någon funktion som kan avgöra om den tid som kommer via antennen är korrekt eller inte. inte heller någon funktion för att skapa loggar med information som beskriver tidens kvalitet eller förhållande till UTC. Man kan alltså inte i efterhand härleda var en sådan utrustning fick sin tid från etc. Den ojämförligt vanligaste metoden att tid- och/eller frekvens- synkronisera ett tekniskt system är att använda GNSS. Enkelheten i sig och den oftast låga prisbilden per utrustning kan dock innebära en svaghet ur ett robusthetsperspektiv i och med det ensidiga beroendet av en och samma referens eller teknik. GPS som är det dominerande systemet inom GNSS kontrolleras dessutom av det amerikanska försvaret, dvs. ligger helt utanför kontroll av . Samtliga GNSS-system inklusive GPS och är radio- baserade metoder som i praktiken saknar fungerande skydd mot störning, såväl oavsiktlig som avsiktlig. 4.4.2Allmänt tillgängliga tidsservrar på Internet På Internet finns ett stort antal allmänt tillgängliga (publika) tidsservrar som är fria att användas av alla som är uppkopplade. Information om NTP, publika tidsservrar m.m. finns samlad på en webbplats, , Alla som har en tidsserver kan anmäla denna som allmänt tillgänglig genom att besvara ett antal tekniska frågor, dvs. det handlar om ett självdeklarationsförfarande och frågor om robusthet och loggning/uppföljning m.m. saknas helt. I många fall handlar det om privatpersoner eller högskolor/uni- versitet som kanske också använder tidsservrarna för egna ändamål i sin undervisning. Som förhållandena är är det upp till brukarna av tid att välja rätt tidsserver men då uppgifter om robusthet m.m. saknas på den webbplats som nämns ovan är detta inte helt enkelt i de fall det finns uttalade behov angående tidsservrarnas kvalitet utöver den direkta tidsnoggranheten (användarna saknar i regel erfarenhet eller kompetens för att ställa rätt frågor). De svenska nationella tidsservrarna är byggda för att vara korrekta och robusta, de finns utspridda i landet för att kunna hantera en situation att den svenska delen av Internet skulle komma att bli segmenterat och deras stabilitet följs upp konti- nuerligt och resultaten redovisas kontinuerligt på en webbplats. 4.4.3Exempel på konsekvenser av störningar I och internationellt finns exempel på hur samhällsviktiga funktioner har slutat fungera vid störningar i frekvens eller tid och referensgruppens uppfattning är att robusthetsfrågan måste få väsentligt större fokus än . Minicall används fortfarande av samhällsviktiga användare långt efter mobiltelefonisystemets etablering. har Minicall lanserats som ett driftsäkert rikstäckande system för hantering av olika larmtjänster. upphörde Minicall att fungera beroende på bortfall av frekvenssynkronise- ringen från ett antal GNSS-mottagare. Teorierna om orsaken till driftstörningarna var flera. Bl.a. förekom diskussioner om att solstormar orsakade bortfallet. I praktiken visade sig störningarna bero på alltför gamla GNSS-mottagare som inte kunde hantera nya satellitkonstellationer. hade SVT några korta sändningsavbrott som kunde hänföras till frekvenssynkroniseringsproblem. Båda dessa exempel visar på en stor teknisk sårbarhet och be- roende av en källa för frekvens, GNSS. Enkla och billiga utrust- ningslösningarna väljs utan tanke eller krav på robusthet. En över- gripande systemkompetens saknas ofta men så länge systemen fungerar utan driftstörningar lever operatörer och andra inblandade utan vetskap om vilka problem tid- och frekvensstörningar kan skapa. Ett exempel på sårbarhet kan också hämtas från där en privatperson driver en egen NTP-server (som en konsekvens av situationen i , se avsnitt 6). Verksamheten fungerade bra ända fram till den tidpunkten som en tillverkare av hårdvara permanent lade in den danska tidsserverns adress i utrustningarnas programvara, utan serverägarens vetskap. Trafiken till den danska tidsservern ökade därefter så dramatiskt att den anslutna bandbredden inte längre räckte till. Som privatperson fick serverägaren stora problem att betala de ökade kostnader som behovet av en snabbare Internetförbindelse förde med sig och servern fick stängas till dess att en mer varaktig lösning hade utarbetats. I Statskontorets utredning Svenska delen av Internet - Struktur, säkerhet och regler (1997:18) var ett av förslagen att nationell tid via protokollet NTP skulle vara en gemensam nätresurs som staten borde ta initiativ till att tillhandahålla. Frågan togs upp igen i Statskontorets utredning Sammanhållen strategi för samhällets IT- säkerhet (1998:18). SP har också drivit projekt för att ordna tidstjänst distribuerad till knutpunkterna av den svenska delen av Internet. Driften av den första officiella tidsservern starta- de . Tillgång till nationell och internationellt spårbar tid skapas via tidsservrar som är anslutna till Internet med hjälp av programvara som implementerar protokollet NTP (Net- work Time Protocol). I IT-propositionen (1999/2000:86, Ett informationssamhälle för alla) angav regeringen vidare att dess insatser syftade till bättre generella förutsättningar för informationssäkerhetsarbetet. In- satserna beskrivs närmare i propositionens avsnitt 5.3 Tillit till IT. För den närmaste framtiden valde regeringen att prioritera tre områden: skydd mot informationsoperationer, ett säkrare Internet samt elektroniska signaturer och annan säkerhetsteknik. Bland de åtgärder som föreslogs kan särskilt nämnas: Att främja att den svenska delen av Internet skall kunna drivas oberoende av funktioner utomlands. Att tillhandahålla en säker och korrekt nationell tidsangivelse för Internet via riksmätplatsen för tid och frekvens. beslutade i enlighet med propositionen och regeringen angav i samband med budgetpropositionen att tidhållning på Internet långsiktigt bör tillhandahållas med spårbarhet från riksmätplatsen för tid och frekvens vid AB (), i . påbörjades uppbyggnaden av en riksmätplats för tid, tid- intervall och frekvens vid SP Provnings- och i . I en internationell jämförelse har SP under en förhållandevis byggt upp en framstående verksamhet med spjutspetskompetens inom området distribution av tid och frekvens. Med regleringsbrevet gav regeringen ett uppdrag att redovisa och genomföra insatser för en ökad användning av korrekt och spårbar tidsangivelse över Internet och i andra elek- troniska kommunikationssystem. PTS redovisade uppdraget i rapporten tid och säker tidsangivning för robustare elek- troniska kommunikationer (PTS-ER:2005:32). var riksmätplats för tid och frekvens i men efter att ha gjort bedömningen att riksmätplatsverksamhet inte var något kärnområde meddelade att man inte längre kunde vara riksmätplats. Följden blev att SWEDAC genomförde en utredning där ett av alternativen var att inte ha någon riks- mätplats beroende på tillgången till tid och frekvens med hjälp av GNSS (jmf situationen i ). Ett uttalande från den dåvarande ackrediterade mätplatsen vid pekade på behovet av långsiktig kompetens inom landet och SP utsågs till riksmätplats . De allra flesta industriländer har organiserat en ordning för att säkerställa och ge nära tillgång till måttenhetssystemet SI inom det egna landet. Området tid och frekvens utgör inget undantag trots att tid och frekvens praktiskt lätt kan fås genom t.ex. satellitbase- rade metoder som GNSS. Motivet till att ha egna resurser är en strävan att hålla kompetens. För tid och frekvens gäller dessutom att dessa två storheter spelar en väsentlig roll för mätning av andra storheter som längd- respektive spänningsenheten. Omfattningen på arbetet inom tid och frekvens vid olika nationella institut varierar, från att endast upprätthålla en tidsskala med hjälp av en grupp kommersiella cesiumklockor, till att ägna stora resurser åt att utveckla nya atomklockor inklusive nästa generation av optiska klockor. Flera institut tillhandahåller tid via Internet med hjälp av NTP-servrar men i regel direktkopplade med de egna klockorna i det egna laboratoriet och inte som i som en del av infrastrukturen för Internet. Dock har majoriteten () av alla NTP-servar på Internet ingen direkt spårbarhet till UTC via egna atomklockor. Där utgör de svenska NTP-serv- rarna, som är en del av infrastrukturen för den svenska delen av Internet, ett undantag och kan betraktas som best practice. Området tid och frekvens tillmäts dessutom stor teknisk/veten- skaplig betydelse vilket bl.a. visas av att området eller näraliggande områden tilldelats flera . För de nordiska länderna samt för , och kan tid och frekvensverksamheten vid respektive nationellt institut sammanfattas i nedanstående tabell: Figur 4 Satsningar på tid och frekvens – jämförelse med andra länder metrologi / kEuro 1)