NTP-serverite NTPsec 1.2.0 ja Сhrony 4.0 väljaandmine, mis toetab turvalist protokolli NTS

IETF (Internet Engineering Task Force) komitee, mis tegeleb interneti protokollide ja arhitektuuri arendamisega, on lõpetanud NTS (Network Time Security) protokolli jaoks RFC koostamine ja seotud spetsifikatsiooni avaldamine identifikaatoriga RFC 8915. RFC on saanud „E ettepaneku standardi“ staatuse, mille järel algab töö selle nimetamiseks mustandstandardi (Draft Standard) staatusesse, mis tähendab protokolli täielikku stabiliseerimist ja kõikide tehtud märkuste arvesse võtmist.

NTS-i standardiseerimine on oluline samm täpset aega sünkroonivate teenuste turvalisuse tõstmiseks ja kasutajate kaitsmiseks NTP-serveri simuleerimise rünnakute eest, millega klient ühendub. Kurjategijate manipuleerimine vale ajaga võib kahjustada teiste protokollide turvalisust, mis arvestavad aega, näiteks TLS. Näiteks võib aja muutmine põhjustada vale tõlgendamise TLS-sertifikaatide kehtivuse andmetes. Siiani ei ole NTP ja sümmeetriline kanalite krüpteerimine võimaldanud tagada, et klient suhtleb sihtserveriga, mitte vale NTP-serveriga, ja võtmeautentimine ei ole levinud, kuna see on liiga keeruline seadistada.

NTS kasutab avalike võtmete infrastruktuuri (PKI) elemente ja võimaldab kasutada TLS-i ning autentitud krüpteerimist AEAD (Authenticated Encryption with Associated Data) NTP-protokolli (Network Time Protocol) kaudu kliendi ja serveri vahelise suhtluse krüptograafiliseks kaitseks. NTS sisaldab kahte eraldi protokolli: NTS-KE (NTS võtme loomine, et töödelda algautentimist ja võtmete kokkulepet TLS-i peal) ja NTS-EF (NTS laiendatud väljad, mis vastutavad aja sünkroniseerimise seansi krüpteerimise ja autentimise eest). NTS lisab NTP-pakettidesse mitu täiendavat välja ja hoiab kogu olekuinfot ainult kliendi poolel, kasutades küpsise edastamise mehhanismi. NTS-protokolli kaudu ühenduste töötlemiseks on eraldatud võrguport 4460.

Esimesed standardiseeritud NTS-i teostused on välja pakutud hiljuti avaldatud väljaannetes NTPsec 1.2.0 ja Сhrony 4.0. Сhrony on iseseisev NTP-klienti ja serveri rakendus, mida kasutatakse täpsete aja sünkroniseerimiseks erinevates Linuxi distributsioonides, sealhulgas Fedora, Ubuntu, SUSE/openSUSE ja RHEL/CentOS. NTPsec areneb Eric S. Raymondi juhtimisel ja on NTPv4 (NTP Classic 4.3.34) protokolli standardrakenduse fork, mis keskendub koodibaasi ümbertegemisele turvalisuse suurendamiseks (vana koodi on puhastatud, rünnakute ennetamise meetodeid on rakendatud ja mälu ning stringide töötlemiseks on kasutusele võetud turvalised funktsioonid).

Allikas: opennet.ru