Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой защищённого протокола NTS
9 октября 2020 года
Комитет IETF (Internet Engineering Task Force), занимающийся развитием протоколов и архитектуры интернета, завершил формирование RFC для протокола NTS (Network Time Security) и опубликовал связанную с ним спецификацию под идентификатором RFC 8915. RFC получил статус "Предложенного стандарта", после чего начнётся работа по приданию RFC статуса чернового стандарта (Draft Standard), фактически означающего полную стабилизацию протокола и учёт всех высказанных замечаний.
Стандартизация NTS является важным шагом для повышения безопасности сервисов синхронизации точного времени и защиты пользователей от атак, имитирующих NTP-сервер, к которому подключается клиент. Манипуляции злоумышленников, связанные с установкой неверного времени, могут использоваться для нарушения безопасности других протоколов, учитывающих время, таких как TLS. Например, изменение времени может привести к неверной интерпретации данных о действии TLS-сертификатов. До сих пор NTP и симметричное шифрование каналов связи не позволяли гарантировать, что клиент взаимодействует с целевым, а не подменённым NTP-сервером, а аутентификация по ключам не получила распространение так как слишком усложнена для настройки.
NTS использует элементы инфраструктуры открытых ключей (PKI) и позволяет использовать TLS и аутентифицированное шифрование AEAD (Authenticated Encryption with Associated Data) для криптографической защиты взаимодействия клиента и сервера по протоколу NTP (Network Time Protocol). NTS предоставляет два мало связанных друг с другом протокола: NTS-KE (NTS Key Establishment) для обработки начальной аутентификации и согласования ключей поверх TLS и NTS-EF (NTS Extension Fields), отвечающий за шифрование и аутентификацию сеанса синхронизации времени. NTS добавляет в пакеты NTP несколько расширенных полей и хранит всю информацию о состоянии только на стороне клиента, используя механизм передачи cookies. Для обработки соединений по протоколу NTS выделен сетевой порт 4460.
Первые реализации стандартизированного NTS предложены в выпусках NTPsec 1.2.0 и Сhrony 4.0. Сhrony применяется для синхронизации точного времени в различных дистрибутивах Linux, в том числе в Fedora, Ubuntu, SUSE/openSUSE и RHEL/CentOS. NTPsec развивается под руководством Эрика Реймонда (Eric S. Raymond) и является форком эталонной реализации протокола NTPv4 (NTP Classic 4.3.34), сфокусированным на переработке кодовой базы с целью повышения безопасности (выполнена чистка устаревшего кода, задействованы методы предотвращения атак и защищённые функции для работы с памятью и строками).
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
