SilentMesh - протокол безопасности автономных mesh‑сетей в архитектуре ACE‑System.

В автономных системах безопасность часто зависит от облака, серверов ключей и постоянной связи. В ACE‑System всё иначе, безопасность встроена в архитектуру. Протокол SilentMesh обеспечивает детерминированную защиту mesh‑сети без центра, без периодического радио‑трафика и без инфраструктуры.

DroneWatch как пример системы, использующей SilentMesh для защищённого обмена событиями в полностью автономном режиме.

SilentMesh работает в среде, где возможны прослушивание эфира, подделка пакетов, повторная передача трафика, помехи и глушение, захват узла. При этом протокол не использует облако, CA, серверы ключей, постоянную синхронизацию.

Безопасность должна быть автономной как и сама сеть.

Первичное доверие формируется при вводе узла в эксплуатацию.

IK генерируется на устройстве при производстве или обслуживании.

Узел получает статус «доверенный» через локальный provisioning.

Как узел становится частью SilentMesh.

После provisioning узел автоматически включается в mesh, слушая эфир и принимая только сообщения, подписанные доверенными IK.

SilentMesh не использует списки соседей, discovery‑пакеты, handshake, таблицы маршрутизации.

Участие определяется доверенными ключами, а не конфигурацией сети.

Каждый узел имеет собственный ключ идентичности.

Нет центра, нет CA, нет сервера, который может отказать или быть атакован.

Доверие поддерживается проверкой подписей, соблюдением сетевых инвариантов, корректным радио‑поведением.

SilentMesh использует тихий событийный профиль. Узел в тихом режиме не излучает периодический трафик, не раскрывает своё присутствие, держит радио в приёме или сне, активируется только при событии.

При событии узел:

1. собирает минимальную полезную нагрузку;

2. выводит эфемерный ключ;

3. подписывает и при необходимости шифрует сообщение;

4. передаёт короткий пакет;

5. возвращается в тихий режим.

SilentMesh поддерживает два профиля:

- Quiet‑Profile - профиль по умолчанию;

- High‑Security - включается оператором при вводе системы в эксплуатацию.

Автоматического переключения нет, что сохраняет детерминизм поведения.

SilentMesh использует три типа ключей:

- IK (ключ идентичности);

- EK (эфемерный ключ на событие);

- GK (ключ проверки шлюза (опционально).

EK уничтожается сразу после события. Компрометация IK не раскрывает прошлые сообщения.

Trust‑score - это локальная метрика поведения узла.

Соседи снижают trust‑score, если узел нарушает лимиты пересылки, отправляет неподписанные сообщения, повторяет устаревшие nonces, генерирует события слишком часто, нарушает тайминги тихого профиля.

Что происходит при нулевом trust‑score.

- соседи перестают пересылать сообщения узла;

- узел остаётся в сети и слушает эфир;

- trust‑score может восстановиться при нормальном поведении.

Как происходит восстановление.

Постепенно. Каждое корректное событие +1, до полного восстановления.

SilentMesh – это событийная сеть, поэтому восстановление происходит только по событиям, а не по времени. Если событий нет, то trust‑score остаётся на текущем уровне.

Всегда выполняются:

1. Неподписанные сообщения не принимаются.

2. Replay проверяется перед пересылкой.

3. Приватные ключи не покидают устройство.

4. Каждое событие использует новый EK.

5. Узел не превышает лимиты пересылки.

6. Сетевые инварианты не нарушаются.

7. После события узел возвращается в тихий режим.

SilentMesh использует формальную FSM:

- QUIET_SECURE (радио молчит);

- EVENT_ACTIVE (событие обнаружено);

- VERIFYING (подпись и шифрование);

- FORWARDING_SECURE (передача);

- REVOKED (ключ отозван).

Переходы детерминированы. Нет неоднозначных состояний. Нет циклов, обходящих инварианты.

SilentMesh использует nonces + кэш повторов.

- Nonce генерируется при событии.

- Кэш хранит последние nonces в окне 5-10 секунд.

- Счётчики не используются (нет синхронизации).

- Временные окна не привязаны к глобальному времени.

Что происходит с поздними пакетами.

Если nonce вышел за окно 10 секунд, сообщение отклоняется как replay.

PQ‑подписи большие, поэтому SilentMesh использует гибрид:

- В Quiet‑Profile (только Ed25519).

- В High‑Security (PQ‑подпись передаётся только в первом пакете события).

- Остальные пакеты используют MAC.

PQ‑готовый слот - это поле в структуре Flare‑сообщения, куда может быть помещён PQ‑материал. В Quiet‑Profile слот пустой. В High‑Security содержит PQ‑подпись или PQ‑KEM‑данные.

Если узел ведёт себя аномально:

- соседи снижают trust‑score;

- пересылка подавляется;

- шлюзы отклоняют его сообщения.

Компрометация одного узла не нарушает работу сети.

SilentMesh показывает, что безопасность автономных систем может быть:

- формальной;

- детерминированной;

- проверяемой;

- устойчивой к компрометации;

- малозаметной в эфире;

- независимой от инфраструктуры.

ACE‑System задаёт архитектуру, где безопасность часть самой системы, а не внешний модуль.