Излизането на NTP-сървърите NTPsec 1.2.0 и Сhrony 4.0 с поддръжка на защитения протокол NTS

Комитет IETF (Internet Engineering Task Force), който се занимава с развитието на протоколи и архитектура на интернет, завърши формулирането на RFC за протокола NTS (Network Time Security) и публикуването на свързаната с него спецификация под идентификатор RFC 8915. RFC получи статус на "Предложен стандарт", след което ще започне работа по прилагането на статуса на RFC черновен стандарт (Draft Standard), което фактически означава пълна стабилизация на протокола и отчитане на всички изразени забележки.

Стандартизацията на NTS е важна стъпка за повишаване на сигурността на услугите за синхронизация на точно време и защита на потребителите от атаки, имитиращи NTP-сървър, с който се свързва клиентът. Манипулациите на злонамерени лица, свързани с установяването на неправилно време, могат да се използват за нарушаване на сигурността на други протоколи, които отчитат времето, като TLS. Например, промяната на времето може да доведе до неправилна интерпретация на данните за действието на TLS-сертификатите. До момента NTP и симетричното криптиране не позволяваха да се гарантира, че клиентът взаимодейства с целевия, а не с подменен NTP-сървър, а аутентификацията по ключове не се е наложила, тъй като е твърде сложна за настройка.

NTS използва елементи от инфраструктурата на откритите ключове (PKI) и позволява използването на TLS и аутентифицирано криптиране AEAD (Authenticated Encryption with Associated Data) за криптографска защита на взаимодействието между клиента и сървъра по протокола NTP (Network Time Protocol). NTS включва два отделни протокола: NTS-KE (NTS Key Establishment за обработка на началната аутентификация и съгласуване на ключове над TLS) и NTS-EF (NTS Extension Fields, отговарящ за криптирането и аутентификацията на сеанса за синхронизация на времето). NTS добавя няколко разширени полета в NTP пакетите и съхранява цялата информация за състоянието само на страната на клиента, използвайки механизма за предаване на бисквитки. За обработката на връзките по протокола NTS е отделен мрежов порт 4460.

Първите реализации на стандартизирания NTS бяха предложени в наскоро публикувани издания NTPsec 1.2.0 и Сhrony 4.0. Сhrony представлява независима реализация на клиент и сървър NTP, която се използва за синхронизация на точно време в различни дистрибуции на Linux, включително Fedora, Ubuntu, SUSE/openSUSE и RHEL/CentOS. NTPsec развива под ръководството на Ерик Реймонд (Eric S. Raymond) и е форк на референтната реализация на протокола NTPv4 (NTP Classic 4.3.34), фокусиран върху преработката на кодовата база с цел повишаване на сигурността (извършено е почистване на остарял код, приложени са методи за предотвратяване на атаки и защитени функции за работа с паметта и низовете).

Източник: opennet.ru