Po více než roce vývoje byl zveřejněn vydání serveru pro synchronizaci přesného času NTPsec 1.2.4. Projekt byl vytvořen jako fork referenční implementace protokolu NTPv4 (NTP Classic 4.3.34), zaměřený na přepracování kódu za účelem zvýšení bezpečnosti. Zdrojový kód NTPsec je distribuován pod licencemi BSD, MIT a NTP.
NTPsec se vyvíjí pod vedením Erika Raymonda (Eric S. Raymond) za účasti některých vývojářů původního NTP Classic, inženýrů z firem Hewlett Packard a Akamai Technologies, stejně jako projektů GPSD a RTEMS. Mezi odlišnostmi od NTP Classic je přidání podpory protokolu NTS (Network Time Security), zmenšení velikosti kódu o více než polovinu (byly odstraněny zastaralé funkce a neaktuální platformy), implementace režimu autonomního provozu, využití metod pro prevenci útoků (například filtrování systémových volání) a přechod na zabezpečené funkce pro práci s pamětí a řetězci.
V nové verzi:
- Přidána konfigurace „extra port xxxx“ pro příjem požadavků na dalším síťovém portu, kromě hlavního portu, který se nastavuje pomocí „nts port xxxx“. Další port může být užitečný k obraně proti blokování přístupu k externím NTP serverům, které jsou nastavené na firewallech.
- Přidána podpora pro sestavení na Linuxových systémech s architekturou armhf.
- Zajištěna podpora provozu ntpd na systémech v režimu FIPS.
- Systém sestavení Waf byl aktualizován na verzi 2.1.4. V Debianu se instalace utilit napsaných v Pythonu, jako jsou ntpq a ntpmon, nyní provádí do adresáře „/usr/local/lib/python3.xx/site-packages“, a ne do „/usr/local/lib/python3.xx/dist-packages“. V příkazu „waf install“ bylo zahrnuto testování instalovaných spustitelných souborů, a pomocí příkazu „waf configure —enable-Werror“ lze nyní zahrnout zpracování varování kompilátoru jako chyby.
- Jako minimální verze Pythonu byla uvolněna verze 2.7. Podpora pro Python 2 plánujeme ukončit v příští verzi.
- Ve výchozím nastavení je použita volba „—disable-fuzz“, která vypíná mechanismus „Clock fuzzing“ (vkládání milisekundových náhodných posunů do vraceného času klientům, což neovlivňuje celkovou přesnost, ale neumožňuje útočníkům předpovědět skutečnou hodnotu času).
- Byly odstraněny zbytky kódu související s provozem v režimech broadcast a multicast.
- Do ntpdig byla přidána volba pro vázání na určené IP adresu.
- Do konfigurace NTS-KE byla přidána volba pro nastavení seznamu preferovaných šifrovacích algoritmů pro TLS.
- Byl místo ntp_adjtime použit výstup ntp_gettime.
Zdroj: opennet.ru
