ວິທີການ synchronization ເວລາກາຍເປັນຄວາມປອດໄພ

ວິ​ທີ​ການ​ເຮັດ​ໃຫ້​ແນ່​ໃຈວ່​າ​ທີ່​ໃຊ້​ເວ​ລາ​ຕໍ່​ຄົນ​ບໍ່​ໄດ້​ນອນ​ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ມີ​ເປັນ​ລ້ານ​ອຸ​ປະ​ກອນ​ຂະ​ຫນາດ​ໃຫຍ່​ແລະ​ຂະ​ຫນາດ​ນ້ອຍ​ການ​ສື່​ສານ​ຜ່ານ TCP / IP​? ຫຼັງຈາກທີ່ທັງຫມົດ, ແຕ່ລະຄົນມີໂມງ, ແລະເວລາຕ້ອງຖືກຕ້ອງສໍາລັບພວກເຂົາທັງຫມົດ. ບັນຫານີ້ບໍ່ສາມາດຫຼີກເວັ້ນໄດ້ໂດຍບໍ່ມີການ ntp.

ລອງຈິນຕະນາການເປັນນາທີວ່າໃນສ່ວນໜຶ່ງຂອງໂຄງສ້າງພື້ນຖານດ້ານ IT ອຸດສາຫະກໍາມີຄວາມຫຍຸ້ງຍາກໃນການບໍລິການ synchronizing ໃນໄລຍະເວລາ. ທັນທີທີ່ກຸ່ມກຸ່ມຂອງຊອບແວວິສາຫະກິດເລີ່ມລົ້ມເຫລວ, ໂດເມນແຕກແຍກ, ແມ່ບົດ ແລະໂຫນດສະແຕນບາຍບໍ່ສຳເລັດພະຍາຍາມຟື້ນຟູສະຖານະເດີມ.

ມັນເປັນໄປໄດ້ວ່າຜູ້ໂຈມຕີໂດຍເຈດຕະນາພະຍາຍາມລົບກວນເວລາຜ່ານການໂຈມຕີ MiTM ຫຼື DDOS. ໃນສະຖານະການດັ່ງກ່າວ, ທຸກຢ່າງສາມາດເກີດຂຶ້ນໄດ້:

• ລະຫັດຜ່ານບັນຊີຜູ້ໃຊ້ຈະໝົດອາຍຸ;
• ໃບຢັ້ງຢືນ X.509 ຈະໝົດອາຍຸ;
• ການພິສູດຢືນຢັນສອງປັດໃຈ TOTP ຈະຢຸດເຮັດວຽກ;
• ການສໍາຮອງຂໍ້ມູນຈະກາຍເປັນລ້າສະໄຫມແລະລະບົບຈະລຶບພວກມັນອອກ;
• DNSSec ຈະແຕກ.

ມັນເປັນທີ່ຊັດເຈນວ່າທຸກໆພະແນກໄອທີມີຄວາມສົນໃຈໃນການດໍາເນີນງານທີ່ຫນ້າເຊື່ອຖືຂອງການບໍລິການ synchronization ເວລາ, ແລະມັນຈະດີຖ້າພວກເຂົາມີຄວາມຫນ້າເຊື່ອຖືແລະປອດໄພໃນການດໍາເນີນງານອຸດສາຫະກໍາ.

ແຍກ NTP ໃນ 25 ນາທີ

ໂປໂຕຄອນເຄືອຂ່າຍ - millennials ມີ peculiarity ຫນຶ່ງ, ພວກເຂົາເຈົ້າໄດ້ ລ້າສະໄຫມ ແລະບໍ່ແມ່ນສິ່ງທີ່ດີອີກຕໍ່ໄປ, ແຕ່ການທົດແທນພວກມັນບໍ່ແມ່ນເລື່ອງງ່າຍເຖິງແມ່ນວ່າໃນເວລາທີ່ມີຈໍານວນຜູ້ທີ່ມີຄວາມກະຕືລືລົ້ນທີ່ສໍາຄັນແລະການສະຫນອງທຶນ.

ຄໍາຮ້ອງທຸກຕົ້ນຕໍກ່ຽວກັບ NTP ຄລາສສິກແມ່ນການຂາດກົນໄກທີ່ເຊື່ອຖືໄດ້ເພື່ອປ້ອງກັນການໂຈມຕີໂດຍຜູ້ບຸກລຸກ. ຄວາມພະຍາຍາມຕ່າງໆໄດ້ຖືກດໍາເນີນເພື່ອແກ້ໄຂບັນຫານີ້. ເພື່ອບັນລຸສິ່ງດັ່ງກ່າວ, ພວກເຮົາທໍາອິດໄດ້ປະຕິບັດກົນໄກການແບ່ງປັນກ່ອນ (PSK) ສໍາລັບການແລກປ່ຽນກະແຈ symmetric.

ແຕ່ຫນ້າເສຍດາຍ, ວິທີການນີ້ບໍ່ໄດ້ຈ່າຍອອກສໍາລັບເຫດຜົນງ່າຍໆ - ມັນບໍ່ໄດ້ຂະຫນາດດີ. ການຕັ້ງຄ່າຄູ່ມືແມ່ນຕ້ອງການຢູ່ໃນຝ່າຍລູກຄ້າໂດຍຂຶ້ນກັບເຄື່ອງແມ່ຂ່າຍ. ນີ້ຫມາຍຄວາມວ່າທ່ານບໍ່ສາມາດເພີ່ມລູກຄ້າອື່ນໄດ້ຄືກັນ. ຖ້າບາງສິ່ງບາງຢ່າງປ່ຽນແປງຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ NTP, ລູກຄ້າທັງຫມົດຕ້ອງໄດ້ຮັບການຕັ້ງຄ່າໃຫມ່.

ຫຼັງຈາກນັ້ນ, ພວກເຂົາເຈົ້າໄດ້ມາກັບ AutoKey, ແຕ່ທັນທີທັນໃດພວກເຂົາເຈົ້າຄົ້ນພົບຊ່ອງໂຫວ່ທີ່ຮ້າຍແຮງຈໍານວນຫນຶ່ງໃນການອອກແບບຂອງ algorithm ຕົວຂອງມັນເອງແລະພວກເຂົາຕ້ອງປະຖິ້ມມັນ. ສິ່ງທີ່ເປັນແມ່ນວ່າແກ່ນມີພຽງ 32-bits, ມັນມີຂະຫນາດນ້ອຍເກີນໄປແລະບໍ່ມີຄວາມສັບສົນທາງດ້ານຄອມພິວເຕີ້ພຽງພໍສໍາລັບການໂຈມຕີທາງຫນ້າ.

• ID ລະຫັດ - symmetric 32-bit key;
• MAC (ລະຫັດການຢືນຢັນຂໍ້ຄວາມ) - NTP packet checksum;

Autokey ຖືກຄິດໄລ່ດັ່ງຕໍ່ໄປນີ້.

Autokey=H(Sender-IP||Receiver-IP||KeyID||Cookie)

ບ່ອນທີ່ H() ເປັນຟັງຊັນການເຂົ້າລະຫັດລັບ.

ຟັງຊັນດຽວກັນແມ່ນໃຊ້ເພື່ອຄິດໄລ່ checksum ຂອງແພັກເກັດ.

MAC=H(Autokey||NTP packet)

ມັນປະກົດວ່າຄວາມສົມບູນທັງຫມົດຂອງການກວດສອບຊຸດແມ່ນຂຶ້ນກັບຄວາມຖືກຕ້ອງຂອງ cookies. ເມື່ອທ່ານມີພວກມັນ, ທ່ານສາມາດຟື້ນຟູ autokey ແລະຫຼັງຈາກນັ້ນ spoof MAC. ຢ່າງໃດກໍຕາມ, ເຄື່ອງແມ່ຂ່າຍ NTP ໃຊ້ເມັດໃນເວລາທີ່ຜະລິດພວກມັນ. ນີ້ແມ່ນບ່ອນທີ່ຈັບໄດ້.

Cookie=MSB_32(H(Client IP||Server IP||0||Server Seed))

ຟັງຊັນ MSB_32 ຕັດອອກ 5 ບິດທີ່ສຳຄັນທີ່ສຸດຈາກຜົນການຄຳນວນ md32 hash. ຄຸກກີລູກຄ້າບໍ່ປ່ຽນແປງຕາບໃດທີ່ຕົວກໍານົດການຂອງເຊີບເວີຍັງຄົງບໍ່ປ່ຽນແປງ. ຫຼັງຈາກນັ້ນ, ຜູ້ໂຈມຕີພຽງແຕ່ສາມາດຟື້ນຟູຕົວເລກເບື້ອງຕົ້ນແລະສາມາດສ້າງ cookies ທີ່ເປັນເອກະລາດ.

ທໍາອິດ, ທ່ານຈໍາເປັນຕ້ອງເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍຂອງ NTP ເປັນລູກຄ້າແລະໄດ້ຮັບ cookies. ຫຼັງຈາກນີ້, ໂດຍໃຊ້ວິທີການບັງຄັບ brute, ຜູ້ໂຈມຕີຈະຟື້ນຟູຕົວເລກເບື້ອງຕົ້ນຕາມສູດການຄິດໄລ່ງ່າຍໆ.

ສູດການຄິດໄລ່ສໍາລັບການໂຈມຕີການຄິດໄລ່ຈໍານວນເບື້ອງຕົ້ນໂດຍວິທີ brute-force.

   for i=0:2^32 − 1 do
        Ci=H(Server-IP||Client-IP||0||i)
        if Ci=Cookie then
            return i
        end if 
    end for

ທີ່ຢູ່ IP ເປັນທີ່ຮູ້ຈັກ, ດັ່ງນັ້ນສິ່ງທີ່ຍັງເຫຼືອແມ່ນການສ້າງ 2^32 hashes ຈົນກ່ວາ cookie ທີ່ສ້າງຂື້ນກົງກັບອັນທີ່ໄດ້ຮັບຈາກເຄື່ອງແມ່ຂ່າຍ NTP. ໃນສະຖານີເຮືອນປົກກະຕິທີ່ມີ Intel Core i5, ນີ້ຈະໃຊ້ເວລາ 25 ນາທີ.

NTS - Autokey ໃໝ່

ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະໃສ່ກັບຮູຄວາມປອດໄພດັ່ງກ່າວໃນ Autokey, ແລະໃນປີ 2012 ມັນໄດ້ປະກົດຂຶ້ນ ສະບັບໃຫມ່ ພິທີການ. ເພື່ອປະນີປະນອມຊື່, ພວກເຂົາເຈົ້າໄດ້ຕັດສິນໃຈ rebrand, ສະນັ້ນ Autokey v.2 ໄດ້ຖືກຂະຫນານນາມວ່າ Network Time Security.

ໂປໂຕຄອນ NTS ແມ່ນສ່ວນຂະຫຍາຍຂອງຄວາມປອດໄພ NTP ແລະປະຈຸບັນຮອງຮັບພຽງແຕ່ໂໝດ unicast ເທົ່ານັ້ນ. ມັນສະຫນອງການປົກປ້ອງ cryptographic ທີ່ເຂັ້ມແຂງຕໍ່ກັບການຈັດການແພັກເກັດ, ປ້ອງກັນການ snooping, ຂະຫນາດໄດ້ດີ, ທົນທານຕໍ່ການສູນເສຍແພັກເກັດເຄືອຂ່າຍ, ແລະສົ່ງຜົນໃຫ້ມີການສູນເສຍຄວາມແມ່ນຍໍາຫນ້ອຍທີ່ສຸດທີ່ເກີດຂຶ້ນໃນລະຫວ່າງຄວາມປອດໄພຂອງການເຊື່ອມຕໍ່.

ການເຊື່ອມຕໍ່ NTS ປະກອບດ້ວຍສອງຂັ້ນຕອນທີ່ໃຊ້ໂປຣໂຕຄໍຊັ້ນລຸ່ມ. ສຸດ ທໍາອິດ ໃນຂັ້ນຕອນນີ້, ລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍຕົກລົງເຫັນດີກ່ຽວກັບຕົວກໍານົດການເຊື່ອມຕໍ່ຕ່າງໆແລະແລກປ່ຽນ cookies ທີ່ມີລະຫັດທີ່ມີຊຸດຂໍ້ມູນທັງຫມົດ. ສຸດ ຄັ້ງທີສອງ ໃນຂັ້ນຕອນນີ້, ເຊດຊັນ NTS ທີ່ໄດ້ຮັບການປົກປ້ອງຕົວຈິງເກີດຂຶ້ນລະຫວ່າງລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ NTP.

NTS ປະກອບດ້ວຍສອງໂປຣໂຕຄໍຊັ້ນລຸ່ມ: Network Time Security Key Exchange (NTS-KE), ເຊິ່ງລິເລີ່ມການເຊື່ອມຕໍ່ທີ່ປອດໄພຜ່ານ TLS, ແລະ NTPv4, ການເກີດໃໝ່ຫຼ້າສຸດຂອງໂປໂຕຄອນ NTP. ເພີ່ມເຕີມເລັກນ້ອຍກ່ຽວກັບເລື່ອງນີ້ຂ້າງລຸ່ມນີ້.

ຂັ້ນຕອນທໍາອິດ - NTS KE

ໃນຂັ້ນຕອນນີ້, ລູກຄ້າ NTP ເລີ່ມຕົ້ນກອງປະຊຸມ TLS 1.2/1.3 ໃນໄລຍະການເຊື່ອມຕໍ່ TCP ແຍກຕ່າງຫາກກັບເຄື່ອງແມ່ຂ່າຍ NTS KE. ໃນລະຫວ່າງກອງປະຊຸມນີ້, ດັ່ງຕໍ່ໄປນີ້ເກີດຂຶ້ນ.

• ພາກສ່ວນກໍານົດຕົວກໍານົດການ AEAD ສູດການຄິດໄລ່ສໍາລັບຂັ້ນຕອນທີສອງ.
• ພາກສ່ວນຕ່າງໆກໍານົດອະນຸສັນຍາຊັ້ນລຸ່ມທີສອງ, ແຕ່ໃນປັດຈຸບັນພຽງແຕ່ສະຫນັບສະຫນູນ NTPv4.
• ພາກສ່ວນກໍານົດທີ່ຢູ່ IP ແລະພອດຂອງເຄື່ອງແມ່ຂ່າຍ NTP.
• ເຊີບເວີ NTS KE ອອກຄຸກກີພາຍໃຕ້ NTPv4.
• ພາກສ່ວນທີ່ສະກັດຄູ່ຂອງຄີ symmetric (C2S ແລະ S2C) ອອກຈາກວັດສະດຸຄຸກກີ.

ວິທີການນີ້ມີປະໂຫຍດອັນໃຫຍ່ຫຼວງທີ່ພາລະທັງຫມົດຂອງການສົ່ງຂໍ້ມູນລັບກ່ຽວກັບຕົວກໍານົດການເຊື່ອມຕໍ່ຕົກຢູ່ໃນໂປໂຕຄອນ TLS ທີ່ໄດ້ຮັບການພິສູດແລະເຊື່ອຖືໄດ້. ນີ້ລົບລ້າງຄວາມຕ້ອງການທີ່ຈະສ້າງລໍ້ຂອງທ່ານເອງສໍາລັບການຈັບມື NTP ທີ່ປອດໄພ.

ຂັ້ນຕອນທີສອງ - NTP ພາຍໃຕ້ການປົກປ້ອງ NTS

ໃນຂັ້ນຕອນທີສອງ, ລູກຄ້າ synchronizes ເວລາກັບເຄື່ອງແມ່ຂ່າຍ NTP ຢ່າງປອດໄພ. ສໍາລັບຈຸດປະສົງນີ້, ມັນສົ່ງສີ່ສ່ວນຂະຫຍາຍພິເສດ (ຂົງເຂດການຂະຫຍາຍ) ໃນໂຄງສ້າງແພັກເກັດ NTPv4.

• ສ່ວນຂະຫຍາຍຕົວລະບຸທີ່ບໍ່ຊໍ້າກັນປະກອບມີການສຸ່ມແບບສຸ່ມເພື່ອປ້ອງກັນການໂຈມຕີຄືນ.
• NTS Cookie Extension ມີໜຶ່ງໃນຄຸກກີ NTP ທີ່ມີໃຫ້ລູກຄ້າ. ເນື່ອງຈາກພຽງແຕ່ລູກຄ້າທີ່ມີກະແຈ AAED C2S ແລະ S2C symmetric, ເຄື່ອງແມ່ຂ່າຍ NTP ຕ້ອງສະກັດພວກມັນອອກຈາກວັດສະດຸຄຸກກີ.
• NTS Cookie Placeholder Extension ເປັນວິທີການໃຫ້ລູກຄ້າຮ້ອງຂໍ cookies ເພີ່ມເຕີມຈາກເຄື່ອງແມ່ຂ່າຍ. ການຂະຫຍາຍນີ້ເປັນສິ່ງຈໍາເປັນເພື່ອຮັບປະກັນວ່າການຕອບສະຫນອງຂອງເຄື່ອງແມ່ຂ່າຍ NTP ບໍ່ຍາວກວ່າຄໍາຮ້ອງຂໍ. ນີ້ຊ່ວຍປ້ອງກັນການໂຈມຕີຂະຫຍາຍໃຫຍ່ຂື້ນ.
• NTS Authenticator ແລະ Encrypted Extension Fields Extension ມີລະຫັດ AAED ທີ່ມີລະຫັດ C2S, NTP header, timestamps, ແລະ EF ຂ້າງເທິງເປັນຂໍ້ມູນປະກອບ. ໂດຍບໍ່ມີການຂະຫຍາຍນີ້, ມັນເປັນໄປໄດ້ທີ່ຈະ spoof timestamps.

ເມື່ອໄດ້ຮັບການຮ້ອງຂໍຈາກລູກຄ້າ, ເຄື່ອງແມ່ຂ່າຍຈະກວດສອບຄວາມຖືກຕ້ອງຂອງແພັກເກັດ NTP. ເພື່ອເຮັດສິ່ງນີ້, ລາວຕ້ອງຖອດລະຫັດ cookies, ສະກັດ AAED algorithm ແລະຄີ. ຫຼັງຈາກການກວດສອບແພັກເກັດ NTP ສຳເລັດແລ້ວ, ເຊີບເວີຈະຕອບກັບລູກຄ້າໃນຮູບແບບຕໍ່ໄປນີ້.

• ສ່ວນຂະຫຍາຍຕົວລະບຸທີ່ເປັນເອກະລັກແມ່ນເປັນສຳເນົາຂອງຄຳຮ້ອງຂໍຂອງລູກຄ້າ, ມາດຕະການຕໍ່ກັບການໂຈມຕີຄືນ.
• NTS Cookie Extension ຄຸກກີເພີ່ມເຕີມເພື່ອສືບຕໍ່ເຊດຊັນ.
• NTS Authenticator ແລະ Encrypted Extension Fields Extensions ມີລະຫັດ AEAD ທີ່ມີກະແຈ S2C.

ການຈັບມືຄັ້ງທີສອງສາມາດເຮັດຊ້ໍາໄດ້ຫຼາຍຄັ້ງ, ຂ້າມຂັ້ນຕອນທໍາອິດ, ເນື່ອງຈາກວ່າແຕ່ລະຄໍາຮ້ອງຂໍແລະການຕອບສະຫນອງໃຫ້ cookies ເພີ່ມເຕີມຂອງລູກຄ້າ. ນີ້ມີຂໍ້ດີທີ່ການດໍາເນີນງານຂອງ TLS ທີ່ມີຊັບພະຍາກອນທີ່ຂ້ອນຂ້າງຂອງຄອມພິວເຕີ້ແລະການສົ່ງຂໍ້ມູນ PKI ຖືກແບ່ງອອກດ້ວຍຈໍານວນຄໍາຮ້ອງຂໍຊ້ໍາ. ນີ້ແມ່ນສະດວກໂດຍສະເພາະສໍາລັບຜູ້ຮັກສາເວລາ FPGA ພິເສດ, ໃນເວລາທີ່ຫນ້າທີ່ຕົ້ນຕໍທັງຫມົດສາມາດໄດ້ຮັບການຫຸ້ມຫໍ່ເຂົ້າໄປໃນຫຼາຍຫນ້າທີ່ຈາກພາກສະຫນາມຂອງ cryptography symmetric, ການໂອນທັງຫມົດ stack TLS ກັບອຸປະກອນອື່ນ.

NTPSec

ແມ່ນຫຍັງພິເສດກ່ຽວກັບ NTP? ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າຜູ້ຂຽນຂອງໂຄງການ, Dave Mills, ພະຍາຍາມບັນທຶກລະຫັດຂອງລາວໃຫ້ດີທີ່ສຸດເທົ່າທີ່ເປັນໄປໄດ້, ມັນເປັນນັກຂຽນໂປລແກລມທີ່ຫາຍາກທີ່ຈະສາມາດເຂົ້າໃຈຄວາມຊັບຊ້ອນຂອງ algorithms synchronization ທີ່ໃຊ້ເວລາທີ່ມີອາຍຸ 35 ປີ. ບາງລະຫັດໄດ້ຖືກຂຽນໄວ້ກ່ອນຍຸກ POSIX, ແລະ Unix API ຫຼັງຈາກນັ້ນແມ່ນແຕກຕ່າງຈາກສິ່ງທີ່ໃຊ້ໃນມື້ນີ້. ນອກຈາກນັ້ນ, ຄວາມຮູ້ກ່ຽວກັບສະຖິຕິແມ່ນຈໍາເປັນເພື່ອອະນາໄມສັນຍານຈາກການແຊກແຊງໃນສາຍທີ່ບໍ່ມີສຽງ.

NTS ບໍ່ແມ່ນຄວາມພະຍາຍາມທໍາອິດທີ່ຈະແກ້ໄຂ NTP. ເມື່ອຜູ້ໂຈມຕີໄດ້ຮຽນຮູ້ທີ່ຈະໃຊ້ຊ່ອງໂຫວ່ NTP ເພື່ອຂະຫຍາຍການໂຈມຕີ DDoS, ມັນໄດ້ກາຍເປັນທີ່ຊັດເຈນວ່າຈໍາເປັນຕ້ອງມີການປ່ຽນແປງຮາກ. ແລະໃນຂະນະທີ່ຮ່າງ NTS ໄດ້ຖືກກະກຽມແລະສຸດທ້າຍ, ມູນນິທິວິທະຍາສາດແຫ່ງຊາດຂອງສະຫະລັດໃນທ້າຍປີ 2014 ໄດ້ຈັດສັນທຶນຊ່ວຍເຫຼືອລ້າສໍາລັບການຫັນເປັນທັນສະໄຫມຂອງ NTP.

ຄະນະປະຕິບັດງານແມ່ນຫົວຫນ້າບໍ່ພຽງແຕ່ໂດຍໃຜ, ແຕ່ Eric Steven Raymond - ຫນຶ່ງໃນຜູ້ກໍ່ຕັ້ງແລະເສົາຄ້ໍາຂອງຊຸມຊົນ Open Source ແລະຜູ້ຂຽນຫນັງສື ວິຫານ ແລະບາຊາ. ສິ່ງທໍາອິດທີ່ Eric ແລະຫມູ່ເພື່ອນຂອງລາວພະຍາຍາມເຮັດແມ່ນຍ້າຍລະຫັດ NTP ຈາກແພລະຕະຟອມ BitKeeper ໄປຫາ git, ແຕ່ມັນບໍ່ໄດ້ຜົນແບບນັ້ນ. ຜູ້ນໍາໂຄງການ Harlan Stenn ຄັດຄ້ານການຕັດສິນໃຈນີ້ ແລະການເຈລະຈາຢຸດເຊົາ. ຫຼັງຈາກນັ້ນ, ມັນໄດ້ຖືກຕັດສິນໃຈ fork ລະຫັດໂຄງການ, ແລະ NTPSec ເກີດມາ.

ປະສົບການທີ່ແຂງແກ່ນ, ລວມທັງການເຮັດວຽກກ່ຽວກັບ GPSD, ພື້ນຖານທາງຄະນິດສາດແລະທັກສະ magical ຂອງການອ່ານລະຫັດວັດຖຸບູຮານ - Eric Raymond ແມ່ນແທ້ຂອງແຮກເກີທີ່ສາມາດດຶງອອກຈາກໂຄງການດັ່ງກ່າວ. ທີມງານໄດ້ພົບເຫັນຜູ້ຊ່ຽວຊານດ້ານການເຄື່ອນຍ້າຍລະຫັດແລະພຽງແຕ່ 10 ອາທິດ NTP ຕົກລົງໃນ GitLab. ການເຮັດວຽກຢູ່ໃນ swing ເຕັມ.

ທີມງານຂອງ Eric Raymond ໄດ້ປະຕິບັດຫນ້າທີ່ດຽວກັນກັບ Auguste Rodin ເຮັດດ້ວຍກ້ອນຫີນ. ໂດຍການຖອນລະຫັດເກົ່າ 175 KLOC, ພວກເຂົາສາມາດຫຼຸດຜ່ອນຫນ້າການໂຈມຕີຢ່າງຫຼວງຫຼາຍໂດຍການປິດຂຸມຄວາມປອດໄພຫຼາຍ.

ນີ້ແມ່ນບັນຊີລາຍຊື່ທີ່ບໍ່ຄົບຖ້ວນຂອງຜູ້ທີ່ລວມຢູ່ໃນການແຈກຢາຍ:

• ບໍ່ມີເອກະສານ, ລ້າສະໄຫມ, ລ້າສະໄຫມຫຼືໂມງສະທ້ອນຄືນທີ່ແຕກຫັກ.
• ຫ້ອງສະໝຸດ ICS ທີ່ບໍ່ໄດ້ໃຊ້.
• libopts/autogen.
• ລະຫັດເກົ່າສໍາລັບ Windows.
• ntpdc.
• ລະຫັດອັດຕະໂນມັດ.
• ລະຫັດ C ntpq ໄດ້ຖືກຂຽນຄືນໃຫມ່ໃນ Python.
• ລະຫັດ sntp/ntpdig C ໄດ້ຖືກຂຽນຄືນໃນ Python.

ນອກເຫນືອຈາກການເຮັດຄວາມສະອາດລະຫັດ, ໂຄງການຍັງມີວຽກງານອື່ນໆ. ນີ້ແມ່ນບັນຊີລາຍຊື່ບາງສ່ວນຂອງຜົນສໍາເລັດ:

• ການ​ປົກ​ປ້ອງ​ລະ​ຫັດ​ຕ້ານ​ການ overflow buffer ໄດ້​ຮັບ​ການ​ປັບ​ປຸງ​ຢ່າງ​ຫຼວງ​ຫຼາຍ​. ເພື່ອປ້ອງກັນການລົ້ນຂອງບັບເຟີ, ຟັງຊັນສະຕຣິງທີ່ບໍ່ປອດໄພທັງໝົດ (strcpy/strcat/strtok/sprintf/vsprintf/gets) ໄດ້ຖືກປ່ຽນແທນດ້ວຍເວີຊັນທີ່ປອດໄພທີ່ປະຕິບັດການຈຳກັດຂະໜາດຂອງບັຟເຟີ.
• ເພີ່ມການສະຫນັບສະຫນູນ NTS.
• ປັບປຸງຄວາມຖືກຕ້ອງຂອງຂັ້ນຕອນເວລາສິບເທົ່າໂດຍການເຊື່ອມຕໍ່ຮາດແວທາງດ້ານຮ່າງກາຍ. ນີ້ແມ່ນຍ້ອນຄວາມຈິງທີ່ວ່າໂມງຄອມພິວເຕີທີ່ທັນສະໄຫມໄດ້ກາຍເປັນຄວາມຖືກຕ້ອງຫຼາຍກ່ວາເວລາ NTP ເກີດ. ຜູ້ທີ່ໄດ້ຮັບຜົນປະໂຫຍດທີ່ໃຫຍ່ທີ່ສຸດແມ່ນ GPSDO ແລະວິທະຍຸທີ່ໃຊ້ເວລາທີ່ອຸທິດຕົນ.
• ຈໍານວນຂອງພາສາການຂຽນໂປຼແກຼມໄດ້ຖືກຫຼຸດລົງເປັນສອງ. ແທນທີ່ຈະເປັນ Perl, awk ແລະແມ້ກະທັ້ງ S scripts, ມັນເປັນ Python ທັງຫມົດ. ເນື່ອງຈາກນີ້, ມີໂອກາດຫຼາຍສໍາລັບການນໍາໃຊ້ລະຫັດຄືນໃຫມ່.
• ແທນທີ່ຈະເປັນ noodles ຂອງ autotools scripts, ໂຄງການໄດ້ເລີ່ມຕົ້ນທີ່ຈະນໍາໃຊ້ລະບົບການສ້າງຊອບແວ waf.
• ປັບປຸງ ແລະຈັດລະບຽບເອກະສານໂຄງການຄືນໃໝ່. ຈາກການເກັບກໍາເອກະສານທີ່ກົງກັນຂ້າມແລະບາງຄັ້ງເກົ່າແກ່, ພວກເຂົາເຈົ້າໄດ້ສ້າງເອກະສານທີ່ຂ້ອນຂ້າງສາມາດຜ່ານໄດ້. ທຸກໆສະຫຼັບເສັ້ນຄຳສັ່ງ ແລະທຸກຫົວໜ່ວຍການຕັ້ງຄ່າດຽວນີ້ມີຄວາມຈິງສະບັບດຽວ. ນອກຈາກນັ້ນ, ຫນ້າເວັບຜູ້ຊາຍແລະເອກະສານເວັບໄດ້ຖືກສ້າງຂື້ນຈາກໄຟລ໌ຫຼັກດຽວກັນ.

NTPSec ມີໃຫ້ສໍາລັບການແຈກຢາຍ Linux ຈໍານວນຫນຶ່ງ. ໃນປັດຈຸບັນ, ສະບັບທີ່ຫມັ້ນຄົງຫລ້າສຸດແມ່ນ 1.1.8, ສໍາລັບ Gentoo Linux ມັນເປັນອັນສຸດທ້າຍ.

(1:696)$ sudo emerge -av ntpsec
These are the packages that would be merged, in order:
Calculating dependencies... done!
[ebuild   R    ] net-misc/ntpsec-1.1.7-r1::gentoo  USE="samba seccomp -debug -doc -early -gdb -heat -libbsd -nist -ntpviz -rclock_arbiter -rclock_generic -rclock_gpsd -rclock_hpgps -rclock_jjy -rclock_local -rclock_modem -rclock_neoclock -rclock_nmea -rclock_oncore -rclock_pps -rclock_shm -rclock_spectracom -rclock_trimble -rclock_truetime -rclock_zyfer -smear -tests" PYTHON_TARGETS="python3_6" 0 KiB
Total: 1 package (1 reinstall), Size of downloads: 0 KiB
Would you like to merge these packages? [Yes/No]

ຊໍາເຮື້ອ

ມີຄວາມພະຍາຍາມທີ່ຈະປ່ຽນແທນ NTP ເກົ່າດ້ວຍທາງເລືອກທີ່ປອດໄພກວ່າ. Chrony, ບໍ່ເຫມືອນກັບ NTPSec, ຖືກຂຽນຈາກພື້ນດິນແລະຖືກອອກແບບເພື່ອປະຕິບັດຫນ້າທີ່ເຊື່ອຖືໄດ້ພາຍໃຕ້ເງື່ອນໄຂທີ່ກວ້າງຂວາງ, ລວມທັງການເຊື່ອມຕໍ່ເຄືອຂ່າຍທີ່ບໍ່ຫມັ້ນຄົງ, ການມີເຄືອຂ່າຍບາງສ່ວນຫຼືຄວາມແອອັດ, ແລະການປ່ຽນແປງອຸນຫະພູມ. ນອກຈາກນັ້ນ, chrony ມີຂໍ້ດີອື່ນໆ:

• chrony ສາມາດ synchronize ໂມງລະບົບໄດ້ໄວຂຶ້ນດ້ວຍຄວາມຖືກຕ້ອງຫຼາຍກວ່າເກົ່າ;
• chrony ມີຂະຫນາດນ້ອຍກວ່າ, ກິນຫນ່ວຍຄວາມຈໍາຫນ້ອຍ, ແລະເຂົ້າເຖິງ CPU ພຽງແຕ່ເມື່ອຈໍາເປັນ. ນີ້ແມ່ນບວກໃຫຍ່ສໍາລັບການປະຫຍັດຊັບພະຍາກອນແລະພະລັງງານ;
• chrony ສະຫນັບສະຫນູນເວລາຮາດແວໃນ Linux, ອະນຸຍາດໃຫ້ synchronization ທີ່ຖືກຕ້ອງທີ່ສຸດຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນ.

ແນວໃດກໍ່ຕາມ, chrony ຂາດຄຸນສົມບັດຂອງ NTP ເກົ່າ, ເຊັ່ນ: ການອອກອາກາດ ແລະ multicast client/server. ນອກຈາກນັ້ນ, ຄລາສສິກ NTP ສະຫນັບສະຫນູນຈໍານວນຂະຫນາດໃຫຍ່ຂອງລະບົບປະຕິບັດການແລະເວທີ.

ເພື່ອປິດການທໍາງານຂອງເຄື່ອງແມ່ຂ່າຍແລະການຮ້ອງຂໍ NTP ກັບຂະບວນການ chronyd, ພຽງແຕ່ຂຽນ port 0 ໃນໄຟລ໌ chrony.conf. ນີ້ແມ່ນເຮັດໃນກໍລະນີທີ່ບໍ່ຈໍາເປັນຕ້ອງຮັກສາເວລາສໍາລັບລູກຄ້າ NTP ຫຼືເພື່ອນມິດ. ນັບຕັ້ງແຕ່ເວີຊັນ 2.0, ພອດເຊີບເວີ NTP ເປີດພຽງແຕ່ເມື່ອການເຂົ້າເຖິງຖືກອະນຸຍາດໂດຍຄໍາສັ່ງອະນຸຍາດຫຼືຄໍາສັ່ງທີ່ເຫມາະສົມ, ຫຼື NTP peer ຖືກຕັ້ງຄ່າ, ຫຼືຄໍາສັ່ງອອກອາກາດຖືກນໍາໃຊ້.

ໂຄງການປະກອບດ້ວຍສອງໂມດູນ.

• chronyd ແມ່ນການບໍລິການທີ່ເຮັດວຽກຢູ່ໃນພື້ນຫລັງ. ມັນໄດ້ຮັບຂໍ້ມູນກ່ຽວກັບຄວາມແຕກຕ່າງລະຫວ່າງໂມງລະບົບແລະເຄື່ອງແມ່ຂ່າຍເວລາພາຍນອກແລະປັບເວລາທ້ອງຖິ່ນ. ມັນຍັງປະຕິບັດ NTP protocol ແລະສາມາດເຮັດຫນ້າທີ່ເປັນລູກຄ້າຫຼືເຄື່ອງແມ່ຂ່າຍ.
• chronyc ເປັນ​ປະ​ໂຫຍດ​ບັນ​ຊີ​ຄໍາ​ສັ່ງ​ສໍາ​ລັບ​ການ​ຕິດ​ຕາມ​ກວດ​ກາ​ແລະ​ການ​ຄວບ​ຄຸມ​ໂຄງ​ການ​. ໃຊ້ເພື່ອປັບຕົວກໍານົດການໃຫ້ບໍລິການຕ່າງໆ, ສໍາລັບການຍົກຕົວຢ່າງ, ອະນຸຍາດໃຫ້ທ່ານສາມາດເພີ່ມຫຼືເອົາເຄື່ອງແມ່ຂ່າຍຂອງ NTP ໃນຂະນະທີ່ chronyd ສືບຕໍ່ດໍາເນີນການ.

ຕັ້ງແຕ່ລຸ້ນ 7 ຂອງ RedHat Linux ການນໍາໃຊ້ chrony ເປັນການບໍລິການ synchronization ທີ່ໃຊ້ເວລາ. ແພັກເກັດນີ້ຍັງມີໃຫ້ສໍາລັບການແຈກຢາຍ Linux ອື່ນໆ. ຮຸ່ນທີ່ຫມັ້ນຄົງຫລ້າສຸດແມ່ນ 3.5, ການກະກຽມສໍາລັບການປ່ອຍ v4.0.

(1:712)$ sudo emerge -av chrony
These are the packages that would be merged, in order:
Calculating dependencies... done!
[binary  N     ] net-misc/chrony-3.5-r2::gentoo  USE="adns caps cmdmon ipv6 ntp phc readline refclock rtc seccomp (-html) -libedit -pps (-selinux)" 246 KiB
Total: 1 package (1 new, 1 binary), Size of downloads: 246 KiB
Would you like to merge these packages? [Yes/No]

ວິທີການຕັ້ງເຄື່ອງແມ່ຂ່າຍ chrony ຫ່າງໄກສອກຫຼີກຂອງທ່ານເອງໃນອິນເຕີເນັດເພື່ອ synchronize ເວລາໃນເຄືອຂ່າຍຫ້ອງການ. ຂ້າງລຸ່ມນີ້ແມ່ນຕົວຢ່າງຂອງການຕັ້ງຄ່າ VPS.

ຕົວຢ່າງຂອງການຕັ້ງຄ່າ Chrony ໃນ RHEL / CentOS ໃນ VPS

ຕອນນີ້ໃຫ້ເຮົາປະຕິບັດໜ້ອຍໜຶ່ງ ແລະຕັ້ງເຊີບເວີ NTP ຂອງພວກເຮົາເອງໃນ VPS. ມັນງ່າຍດາຍຫຼາຍ, ພຽງແຕ່ເລືອກອັດຕາພາສີທີ່ເຫມາະສົມຢູ່ໃນເວັບໄຊທ໌ RuVDS, ໄດ້ຮັບເຄື່ອງແມ່ຂ່າຍທີ່ກຽມພ້ອມແລະພິມຄໍາສັ່ງງ່າຍດາຍຫຼາຍສິບ. ສໍາລັບຈຸດປະສົງຂອງພວກເຮົາ, ທາງເລືອກນີ້ແມ່ນຂ້ອນຂ້າງເຫມາະສົມ.

ໃຫ້ກ້າວໄປສູ່ການຕັ້ງການບໍລິການ ແລະທໍາອິດຕິດຕັ້ງຊຸດ chrony.

[root@server ~]$ yum install chrony

RHEL 8 / CentOS 8 ໃຊ້ຕົວຈັດການແພັກເກັດທີ່ແຕກຕ່າງກັນ.

[root@server ~]$ dnf install chrony

ຫຼັງຈາກການຕິດຕັ້ງ chrony, ທ່ານຈໍາເປັນຕ້ອງເລີ່ມຕົ້ນແລະເປີດໃຊ້ການບໍລິການ.

[root@server ~]$ systemctl enable chrony --now

ຖ້າທ່ານຕ້ອງການ, ທ່ານສາມາດປ່ຽນແປງ /etc/chrony.conf, ປ່ຽນເຄື່ອງແມ່ຂ່າຍ NPT ກັບທ້ອງຖິ່ນທີ່ໃກ້ທີ່ສຸດເພື່ອຫຼຸດຜ່ອນເວລາຕອບສະຫນອງ.

# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
server 0.ru.pool.ntp.org iburst
server 1.ru.pool.ntp.org iburst
server 2.ru.pool.ntp.org iburst
server 3.ru.pool.ntp.org iburst

ຕໍ່ໄປ, ພວກເຮົາຕັ້ງຄ່າ synchronization ຂອງເຄື່ອງແມ່ຂ່າຍ NTP ກັບ nodes ຈາກສະນຸກເກີທີ່ກໍານົດໄວ້.

[root@server ~]$ timedatectl set-ntp true
[root@server ~]$ systemctl restart chronyd.service

ມັນຍັງມີຄວາມຈໍາເປັນທີ່ຈະເປີດພອດ NTP ໄປຂ້າງນອກ, ຖ້າບໍ່ດັ່ງນັ້ນໄຟວໍຈະຂັດຂວາງການເຊື່ອມຕໍ່ຂາເຂົ້າຈາກໂຫນດລູກຄ້າ.

[root@server ~]$ firewall-cmd --add-service=ntp --permanent 
[root@server ~]$ firewall-cmd --reload

ໃນດ້ານລູກຄ້າ, ມັນພຽງພໍທີ່ຈະກໍານົດເຂດເວລາຢ່າງຖືກຕ້ອງ.

[root@client ~]$ timedatectl set-timezone Europe/Moscow

ໄຟລ໌ /etc/chrony.conf ລະບຸ IP ຫຼືຊື່ໂຮດຂອງເຊີບເວີ VPS ຂອງພວກເຮົາທີ່ໃຊ້ NTP server chrony.

server my.vps.server

ແລະສຸດທ້າຍ, ເລີ່ມຕົ້ນ synchronization ທີ່ໃຊ້ເວລາກ່ຽວກັບລູກຄ້າ.

[root@client ~]$ systemctl enable --now chronyd
[root@client ~]$ timedatectl set-ntp true

ໃນຄັ້ງຕໍ່ໄປຂ້າພະເຈົ້າຈະບອກທ່ານວ່າມີທາງເລືອກໃດສໍາລັບການ synchronizing ເວລາທີ່ບໍ່ມີອິນເຕີເນັດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com