Réponse rapide
Une horloge incohérente peut invalider certificats, brouiller journaux et permettre rejeu de messages. Robot détecte dérive, conserve une horloge monotone pour délais, limite opérations dépendantes du temps et resynchronise depuis une source authentifiée. Reprise ne supprime pas les événements survenus pendant l’incertitude.
Séparer temps monotone et temps daté
Délais utilisent horloge monotone ; certificats et traces utilisent référence datée dont qualité est connue. Seuils de dérive, perte de synchronisation et changement sont explicites. Message ancien est refusé même si signature reste valide.
Limiter le mode sans référence
Fonctions critiques restent dans périmètre sûr ; diagnostic non destructif peut continuer si autorisé. Nouvelle source vérifie identité, intégrité et plausibilité avant activation. Journaux indiquent qualité temporelle, incertitude et période affectée.
Ne pas désactiver expiration
Certificat ou jeton accepté indéfiniment masque défaillance et élargit attaque. Opération sensible est suspendue, équipe alertée et procédure appliquée. Tolérance est courte, documentée et surveillée.
Sources et références
- [1] Robotics and Autonomous Systems — NIST