На прошедшей конференции FOSDEM 2026 Рубен Нийвелд поднял важнейшую тему, касающуюся базового протокола всего интернета — NTP (RFC 5905). Спецификации уже больше сорока лет, и на ней держится синхронизация абсолютно всей мировой ИТ-инфраструктуры. Однако классический протокол до сих пор передает пакеты по UDP в абсолютно открытом виде, без какой-либо криптографии и проверки подлинности источника.
Казалось бы, кому в здравом уме нужно подделывать время? Но последствия десинхронизации часов на серверах даже на пару минут могут быть катастрофическими. Злоумышленнику достаточно провести простейший перехват или UDP-спуфинг, чтобы подменить ответы от серверов времени и вызвать массовые корпоративные сбои.
Основные проблемы классического NTP
- Отказ механизмов аутентификации: Протокол Kerberos, используемый в Active Directory, по умолчанию отклоняет аутентификацию при расхождении времени более чем на 5 минут, что приводит к блокировке работы всего домена.
- Компрометация инфраструктуры безопасности: Отказывают системы двухфакторной аутентификации (2FA), нарушается валидация TLS-сертификатов, а также ломается DNSSEC, делая невозможным криптографически безопасное разрешение доменных имен.
- Уязвимости к Timeroasting: Специфические особенности аутентифицированной версии NTP от Microsoft позволяют злоумышленникам извлекать хеши паролей учетных записей компьютеров в Active Directory.
- Сбои в базах данных: Кластеры баз данных получают критические ошибки при разрешении конфликтов репликации, так как этот процесс строго зависит от точных и синхронизированных временных меток.
Решение проблемы: Network Time Security (NTS)
Еще в 2020 году инженеры IETF выпустили RFC 8915, описывающий стандарт NTS. На FOSDEM 2026 активно призывали начать массово внедрять этот протокол, чтобы ускорить принятие стандарта. На сегодняшний день он игнорируется большинством администраторов из-за необходимости настраивать сертификаты и переписывать правила на файрволах — чаще всего требуется открытие TCP-порта 4460 для первоначального обмена ключами. Большинству специалистов проще не трогать то, что и так работает.
Преимущества стандарта NTS
- Надежная криптография: Изначально обмен ключами происходит по классическому TLS, после чего сами пакеты точного времени защищаются через механизмы аутентифицированного шифрования с присоединенными данными (AEAD).
- Защита от подмены (Spoofing): Полностью исключается возможность изменения времени в пути, так как клиент криптографически проверяет подлинность и целостность пакетов от доверенного сервера.
- Высокая точность: Добавление шифрования практически не влияет на скорость обмена UDP-пакетами, сохраняя миллисекундную точность синхронизации классического NTP.
- Готовность ПО и инфраструктуры: Популярные NTP-клиенты, такие как chrony (начиная с версии 4.0) и ntpsec (с версии 1.2.0), уже имеют встроенную поддержку NTS и доступны в современных дистрибутивах Linux. Кроме того, крупные организации, такие как Cloudflare и Netnod, предоставляют бесплатные публичные NTS-серверы.
Ознакомиться со спецификацией RFC 8915
⬇️Поддержать автора⬇️
✅SBER: 2202 2050 1464 4675