സമയ സമന്വയം എങ്ങനെ സുരക്ഷിതമായി

TCP/IP വഴി ആശയവിനിമയം നടത്തുന്ന ചെറുതും വലുതുമായ ഒരു ദശലക്ഷം ഉപകരണങ്ങൾ നിങ്ങളുടെ പക്കലുണ്ടെങ്കിൽ, സമയം വ്യതിചലിക്കുന്നില്ലെന്ന് എങ്ങനെ ഉറപ്പാക്കാം? എല്ലാത്തിനുമുപരി, അവയിൽ ഓരോന്നിനും ഒരു ക്ലോക്ക് ഉണ്ട്, അവയ്‌ക്കെല്ലാം സമയം ശരിയായിരിക്കണം. ntp ഇല്ലാതെ ഈ പ്രശ്നം മറികടക്കാൻ കഴിയില്ല.

വ്യാവസായിക ഐടി ഇൻഫ്രാസ്ട്രക്ചറിൻ്റെ ഒരു വിഭാഗത്തിൽ കാലക്രമേണ സേവനങ്ങൾ സമന്വയിപ്പിക്കുന്നതിൽ ബുദ്ധിമുട്ടുകൾ ഉണ്ടെന്ന് ഒരു മിനിറ്റ് സങ്കൽപ്പിക്കുക. ഉടൻ തന്നെ എൻ്റർപ്രൈസ് സോഫ്‌റ്റ്‌വെയറിൻ്റെ ക്ലസ്റ്റർ സ്റ്റാക്ക് പരാജയപ്പെടാൻ തുടങ്ങുന്നു, ഡൊമെയ്‌നുകൾ ശിഥിലമാകുന്നു, മാസ്റ്ററുകളും സ്റ്റാൻഡ്‌ബൈ നോഡുകളും തൽസ്ഥിതി പുനഃസ്ഥാപിക്കാൻ പരാജയപ്പെട്ടു.

ഒരു MiTM അല്ലെങ്കിൽ DDOS ആക്രമണത്തിലൂടെ ഒരു ആക്രമണകാരി ബോധപൂർവം സമയം തടസ്സപ്പെടുത്താൻ ശ്രമിക്കുന്നതും സാധ്യമാണ്. അത്തരമൊരു സാഹചര്യത്തിൽ, എന്തും സംഭവിക്കാം:

• ഉപയോക്തൃ അക്കൗണ്ട് പാസ്‌വേഡുകൾ കാലഹരണപ്പെടും;
• X.509 സർട്ടിഫിക്കറ്റുകൾ കാലഹരണപ്പെടും;
• TOTP ടു-ഫാക്ടർ പ്രാമാണീകരണം പ്രവർത്തിക്കുന്നത് നിർത്തും;
• ബാക്കപ്പുകൾ കാലഹരണപ്പെടുകയും സിസ്റ്റം അവ ഇല്ലാതാക്കുകയും ചെയ്യും;
• DNSSec തകർക്കും.

സമയ സമന്വയ സേവനങ്ങളുടെ വിശ്വസനീയമായ പ്രവർത്തനത്തിൽ ഓരോ ഐടി വകുപ്പും താൽപ്പര്യപ്പെടുന്നുവെന്ന് വ്യക്തമാണ്, വ്യാവസായിക പ്രവർത്തനത്തിൽ അവ വിശ്വസനീയവും സുരക്ഷിതവുമാണെങ്കിൽ അത് നന്നായിരിക്കും.

25 മിനിറ്റിനുള്ളിൽ NTP തകർക്കുക

നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോളുകൾ - മില്ലേനിയലുകൾക്ക് ഒരു പ്രത്യേകതയുണ്ട്, അവ അങ്ങനെയാണ് കാലഹരണപ്പെട്ട അവ ഇനി ഒന്നിനും കൊള്ളില്ല, പക്ഷേ ഉത്സാഹികളുടെയും ധനസഹായത്തിൻ്റെയും നിർണായകമായ ഒരു കൂട്ടം കുമിഞ്ഞുകൂടുമ്പോഴും അവ മാറ്റിസ്ഥാപിക്കുന്നത് അത്ര എളുപ്പമല്ല.

നുഴഞ്ഞുകയറ്റക്കാരുടെ ആക്രമണങ്ങളിൽ നിന്ന് സംരക്ഷിക്കുന്നതിനുള്ള വിശ്വസനീയമായ സംവിധാനങ്ങളുടെ അഭാവമാണ് ക്ലാസിക് എൻടിപിയെക്കുറിച്ചുള്ള പ്രധാന പരാതി. ഈ പ്രശ്നം പരിഹരിക്കാൻ വിവിധ ശ്രമങ്ങൾ നടന്നിട്ടുണ്ട്. ഇത് നേടുന്നതിന്, സമമിതി കീകൾ കൈമാറ്റം ചെയ്യുന്നതിനായി ഞങ്ങൾ ആദ്യം ഒരു പ്രീ-ഷെയർഡ് കീ (PSK) സംവിധാനം നടപ്പിലാക്കി.

നിർഭാഗ്യവശാൽ, ഈ രീതി ഒരു ലളിതമായ കാരണത്താൽ പണം നൽകിയില്ല - ഇത് നന്നായി അളക്കുന്നില്ല. സെർവറിനെ ആശ്രയിച്ച് ക്ലയൻ്റ് ഭാഗത്ത് മാനുവൽ കോൺഫിഗറേഷൻ ആവശ്യമാണ്. നിങ്ങൾക്ക് അത് പോലെ മറ്റൊരു ക്ലയൻ്റ് ചേർക്കാൻ കഴിയില്ല എന്നാണ് ഇതിനർത്ഥം. NTP സെർവറിൽ എന്തെങ്കിലും മാറ്റമുണ്ടെങ്കിൽ, എല്ലാ ക്ലയൻ്റുകളും പുനഃക്രമീകരിക്കണം.

തുടർന്ന് അവർ ഓട്ടോകീയുമായി വന്നു, പക്ഷേ അൽഗോരിതം രൂപകൽപ്പനയിൽ തന്നെ ഗുരുതരമായ നിരവധി കേടുപാടുകൾ അവർ ഉടൻ കണ്ടെത്തി, അവർക്ക് അത് ഉപേക്ഷിക്കേണ്ടിവന്നു. വിത്തിൽ 32 ബിറ്റുകൾ മാത്രമേ അടങ്ങിയിട്ടുള്ളൂ എന്നതാണ് കാര്യം, അത് വളരെ ചെറുതാണ്, മുൻവശത്തെ ആക്രമണത്തിന് ആവശ്യമായ കമ്പ്യൂട്ടേഷണൽ സങ്കീർണ്ണത അടങ്ങിയിട്ടില്ല.

• കീ ഐഡി - സമമിതി 32-ബിറ്റ് കീ;
• MAC (സന്ദേശ പ്രാമാണീകരണ കോഡ്) - NTP പാക്കറ്റ് ചെക്ക്സം;

ഓട്ടോകീ ഇനിപ്പറയുന്ന രീതിയിൽ കണക്കാക്കുന്നു.

Autokey=H(Sender-IP||Receiver-IP||KeyID||Cookie)

ഇവിടെ H() എന്നത് ഒരു ക്രിപ്‌റ്റോഗ്രാഫിക് ഹാഷ് ഫംഗ്‌ഷനാണ്.

പാക്കറ്റുകളുടെ ചെക്ക്സം കണക്കാക്കാനും ഇതേ ഫംഗ്ഷൻ ഉപയോഗിക്കുന്നു.

MAC=H(Autokey||NTP packet)

പാക്കേജ് ചെക്കുകളുടെ മുഴുവൻ സമഗ്രതയും കുക്കികളുടെ ആധികാരികതയെ ആശ്രയിച്ചിരിക്കുന്നുവെന്ന് ഇത് മാറുന്നു. നിങ്ങൾക്ക് അവ ലഭിച്ചുകഴിഞ്ഞാൽ, നിങ്ങൾക്ക് ഓട്ടോകീ പുനഃസ്ഥാപിക്കാനും തുടർന്ന് MAC സ്പൂഫ് ചെയ്യാനും കഴിയും. എന്നിരുന്നാലും, എൻടിപി സെർവർ അവ സൃഷ്ടിക്കുമ്പോൾ ഒരു വിത്ത് ഉപയോഗിക്കുന്നു. ഇവിടെയാണ് പിടിമുറുക്കുന്നത്.

Cookie=MSB_32(H(Client IP||Server IP||0||Server Seed))

MSB_32 ഫംഗ്‌ഷൻ md5 ഹാഷ് കണക്കുകൂട്ടൽ ഫലത്തിൽ നിന്ന് ഏറ്റവും പ്രധാനപ്പെട്ട 32 ബിറ്റുകളെ വെട്ടിക്കളയുന്നു. സെർവർ പാരാമീറ്ററുകൾ മാറ്റമില്ലാതെ തുടരുന്നിടത്തോളം ക്ലയൻ്റ് കുക്കി മാറില്ല. അപ്പോൾ ആക്രമണകാരിക്ക് പ്രാരംഭ നമ്പർ പുനഃസ്ഥാപിക്കാനും സ്വതന്ത്രമായി കുക്കികൾ സൃഷ്ടിക്കാനും മാത്രമേ കഴിയൂ.

ആദ്യം, നിങ്ങൾ ഒരു ക്ലയൻ്റ് ആയി NTP സെർവറിലേക്ക് കണക്റ്റുചെയ്‌ത് കുക്കികൾ സ്വീകരിക്കേണ്ടതുണ്ട്. ഇതിനുശേഷം, ഒരു ബ്രൂട്ട് ഫോഴ്സ് രീതി ഉപയോഗിച്ച്, ആക്രമണകാരി ഒരു ലളിതമായ അൽഗോരിതം പിന്തുടർന്ന് പ്രാരംഭ നമ്പർ പുനഃസ്ഥാപിക്കുന്നു.

ബ്രൂട്ട്-ഫോഴ്സ് രീതി ഉപയോഗിച്ച് പ്രാരംഭ സംഖ്യയുടെ കണക്കുകൂട്ടൽ ആക്രമിക്കുന്നതിനുള്ള അൽഗോരിതം.

   for i=0:2^32 − 1 do
        Ci=H(Server-IP||Client-IP||0||i)
        if Ci=Cookie then
            return i
        end if 
    end for

IP വിലാസങ്ങൾ അറിയപ്പെടുന്നു, അതിനാൽ സൃഷ്‌ടിച്ച കുക്കി എൻടിപി സെർവറിൽ നിന്ന് ലഭിച്ചതുമായി പൊരുത്തപ്പെടുന്നത് വരെ 2^32 ഹാഷുകൾ സൃഷ്‌ടിക്കുക മാത്രമാണ് ശേഷിക്കുന്നത്. Intel Core i5 ഉള്ള ഒരു സാധാരണ ഹോം സ്റ്റേഷനിൽ, ഇതിന് 25 മിനിറ്റ് എടുക്കും.

NTS - പുതിയ ഓട്ടോകീ

ഓട്ടോകീയിലെ അത്തരം സുരക്ഷാ ദ്വാരങ്ങൾ ഉൾക്കൊള്ളുന്നത് അസാധ്യമായിരുന്നു, 2012 ൽ അത് പ്രത്യക്ഷപ്പെട്ടു ഒരു പുതിയ പതിപ്പ് പ്രോട്ടോക്കോൾ. പേര് വിട്ടുവീഴ്ച ചെയ്യുന്നതിനായി, അവർ റീബ്രാൻഡ് ചെയ്യാൻ തീരുമാനിച്ചു, അതിനാൽ ഓട്ടോകീ v.2 നെ നെറ്റ്‌വർക്ക് ടൈം സെക്യൂരിറ്റി എന്ന് വിളിക്കുന്നു.

എൻടിപി സുരക്ഷയുടെ ഒരു വിപുലീകരണമാണ് എൻടിഎസ് പ്രോട്ടോക്കോൾ, നിലവിൽ യൂണികാസ്റ്റ് മോഡിനെ മാത്രമേ പിന്തുണയ്ക്കൂ. ഇത് പാക്കറ്റ് കൃത്രിമത്വത്തിനെതിരെ ശക്തമായ ക്രിപ്‌റ്റോഗ്രാഫിക് പരിരക്ഷ നൽകുന്നു, സ്‌നൂപ്പിംഗ് തടയുന്നു, നന്നായി സ്കെയിലുചെയ്യുന്നു, നെറ്റ്‌വർക്ക് പാക്കറ്റ് നഷ്‌ടത്തെ പ്രതിരോധിക്കും, കൂടാതെ കണക്ഷൻ സെക്യൂരിറ്റി സമയത്ത് സംഭവിക്കുന്ന ഏറ്റവും കുറഞ്ഞ കൃത്യതയാർന്ന നഷ്ടത്തിനും ഇത് കാരണമാകുന്നു.

NTS കണക്ഷനിൽ ലോവർ ലെയർ പ്രോട്ടോക്കോളുകൾ ഉപയോഗിക്കുന്ന രണ്ട് ഘട്ടങ്ങളുണ്ട്. ഓൺ ആദ്യത്തേത് ഈ ഘട്ടത്തിൽ, ക്ലയൻ്റും സെർവറും വിവിധ കണക്ഷൻ പാരാമീറ്ററുകൾ അംഗീകരിക്കുകയും എല്ലാ ഡാറ്റാ സെറ്റുമായി കീകൾ അടങ്ങുന്ന കുക്കികൾ കൈമാറുകയും ചെയ്യുന്നു. ഓൺ രണ്ടാമത്തേത് ഈ ഘട്ടത്തിൽ, ക്ലയൻ്റിനും NTP സെർവറിനുമിടയിൽ യഥാർത്ഥ പരിരക്ഷിത NTS സെഷൻ നടക്കുന്നു.

NTS-ൽ രണ്ട് ലോവർ-ലെയർ പ്രോട്ടോക്കോളുകൾ അടങ്ങിയിരിക്കുന്നു: നെറ്റ്‌വർക്ക് ടൈം സെക്യൂരിറ്റി കീ എക്‌സ്‌ചേഞ്ച് (NTS-KE), ഇത് TLS വഴി ഒരു സുരക്ഷിത കണക്ഷൻ ആരംഭിക്കുന്നു, കൂടാതെ NTP പ്രോട്ടോക്കോളിൻ്റെ ഏറ്റവും പുതിയ അവതാരമായ NTPv4. ഇതിനെക്കുറിച്ച് കുറച്ചുകൂടി താഴെ.

ആദ്യ ഘട്ടം - NTS KE

ഈ ഘട്ടത്തിൽ, NTS KE സെർവറുമായുള്ള പ്രത്യേക TCP കണക്ഷനിലൂടെ NTP ക്ലയൻ്റ് ഒരു TLS 1.2/1.3 സെഷൻ ആരംഭിക്കുന്നു. ഈ സെഷനിൽ ഇനിപ്പറയുന്നവ സംഭവിക്കുന്നു.

• കക്ഷികൾ പരാമീറ്ററുകൾ നിർണ്ണയിക്കുന്നു എഇഎഡി രണ്ടാം ഘട്ടത്തിനായുള്ള അൽഗോരിതം.
• കക്ഷികൾ രണ്ടാമത്തെ ലോവർ-ലെയർ പ്രോട്ടോക്കോൾ നിർവ്വചിക്കുന്നു, എന്നാൽ ഇപ്പോൾ NTPv4 മാത്രമേ പിന്തുണയ്ക്കൂ.
• എൻടിപി സെർവറിൻ്റെ ഐപി വിലാസവും പോർട്ടും പാർട്ടികൾ നിർണ്ണയിക്കുന്നു.
• NTPv4-ന് കീഴിൽ NTS KE സെർവർ കുക്കികൾ നൽകുന്നു.
• കക്ഷികൾ കുക്കി മെറ്റീരിയലിൽ നിന്ന് ഒരു ജോടി സമമിതി കീകൾ (C2S, S2C) വേർതിരിച്ചെടുക്കുന്നു.

കണക്ഷൻ പാരാമീറ്ററുകളെക്കുറിച്ചുള്ള രഹസ്യ വിവരങ്ങൾ കൈമാറുന്നതിനുള്ള മുഴുവൻ ഭാരവും തെളിയിക്കപ്പെട്ടതും വിശ്വസനീയവുമായ TLS പ്രോട്ടോക്കോളിൽ വരുന്നതാണ് ഈ സമീപനത്തിന് വലിയ നേട്ടമുണ്ട്. സുരക്ഷിതമായ NTP ഹാൻഡ്‌ഷേക്കിനായി നിങ്ങളുടെ സ്വന്തം വീൽ പുനർനിർമ്മിക്കേണ്ടതിൻ്റെ ആവശ്യകത ഇത് ഇല്ലാതാക്കുന്നു.

രണ്ടാം ഘട്ടം - NTS സംരക്ഷണത്തിന് കീഴിൽ NTP

രണ്ടാം ഘട്ടത്തിൽ, ക്ലയൻ്റ് സുരക്ഷിതമായി NTP സെർവറുമായി സമയം സമന്വയിപ്പിക്കുന്നു. ഈ ആവശ്യത്തിനായി, ഇത് NTPv4 പാക്കറ്റ് ഘടനയിൽ നാല് പ്രത്യേക വിപുലീകരണങ്ങൾ (വിപുലീകരണ ഫീൽഡുകൾ) കൈമാറുന്നു.

• റീപ്ലേ ആക്രമണങ്ങൾ തടയാൻ യുണീക്ക് ഐഡൻ്റിഫയർ എക്സ്റ്റൻഷനിൽ ക്രമരഹിതമായ ഒരു നോൺസ് അടങ്ങിയിരിക്കുന്നു.
• NTS കുക്കി വിപുലീകരണത്തിൽ ക്ലയൻ്റിന് ലഭ്യമായ NTP കുക്കികളിൽ ഒന്ന് അടങ്ങിയിരിക്കുന്നു. ക്ലയൻ്റിനു മാത്രമേ C2S, S2C സമമിതി AAED കീകൾ ഉള്ളൂ എന്നതിനാൽ, NTP സെർവർ അവ കുക്കി മെറ്റീരിയലിൽ നിന്ന് വേർതിരിച്ചെടുക്കണം.
• NTS കുക്കി പ്ലെയ്‌സ്‌ഹോൾഡർ വിപുലീകരണം എന്നത് സെർവറിൽ നിന്ന് കൂടുതൽ കുക്കികൾ അഭ്യർത്ഥിക്കാനുള്ള ഒരു ഉപഭോക്താവിനുള്ള ഒരു മാർഗമാണ്. NTP സെർവർ പ്രതികരണം അഭ്യർത്ഥനയെക്കാൾ ദൈർഘ്യമേറിയതല്ലെന്ന് ഉറപ്പാക്കാൻ ഈ വിപുലീകരണം ആവശ്യമാണ്. ഇത് ആംപ്ലിഫിക്കേഷൻ ആക്രമണങ്ങൾ തടയാൻ സഹായിക്കുന്നു.
• NTS ഓതൻ്റിക്കേറ്ററും എൻക്രിപ്റ്റഡ് എക്സ്റ്റൻഷൻ ഫീൽഡ്സ് എക്സ്റ്റൻഷനും C2S കീ, NTP ഹെഡർ, ടൈംസ്‌റ്റാമ്പുകൾ, കൂടാതെ മുകളിലെ EF എന്നിവയ്‌ക്കൊപ്പം ഡാറ്റയ്‌ക്കൊപ്പം AAED സൈഫർ അടങ്ങിയിരിക്കുന്നു. ഈ വിപുലീകരണം കൂടാതെ ടൈംസ്റ്റാമ്പുകൾ കബളിപ്പിക്കാൻ സാധിക്കും.

ഒരു ക്ലയൻ്റിൽനിന്ന് ഒരു അഭ്യർത്ഥന ലഭിച്ചാൽ, NTP പാക്കറ്റിൻ്റെ ആധികാരികത സെർവർ പരിശോധിക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, അവൻ കുക്കികൾ ഡീക്രിപ്റ്റ് ചെയ്യണം, AAED അൽഗോരിതം, കീകൾ എന്നിവ എക്സ്ട്രാക്റ്റ് ചെയ്യണം. സാധുതയ്ക്കായി NTP പാക്കറ്റ് വിജയകരമായി പരിശോധിച്ച ശേഷം, സെർവർ ഇനിപ്പറയുന്ന ഫോർമാറ്റിൽ ക്ലയൻ്റിനോട് പ്രതികരിക്കുന്നു.

• അദ്വിതീയ ഐഡൻ്റിഫയർ വിപുലീകരണം ക്ലയൻ്റ് അഭ്യർത്ഥനയുടെ മിറർ പകർപ്പാണ്, ഇത് റീപ്ലേ ആക്രമണങ്ങൾക്കെതിരായ നടപടിയാണ്.
• സെഷൻ തുടരാൻ NTS കുക്കി വിപുലീകരണം കൂടുതൽ കുക്കികൾ.
• NTS ഓതൻ്റിക്കേറ്ററും എൻക്രിപ്റ്റഡ് എക്സ്റ്റൻഷൻ ഫീൽഡ്സ് എക്സ്റ്റൻഷനും ഒരു S2C കീ ഉള്ള AEAD സൈഫർ ഉൾക്കൊള്ളുന്നു.

ഓരോ അഭ്യർത്ഥനയും പ്രതികരണവും ക്ലയൻ്റിന് അധിക കുക്കികൾ നൽകുന്നതിനാൽ, ആദ്യ ഘട്ടം മറികടന്ന് രണ്ടാമത്തെ ഹാൻഡ്‌ഷേക്ക് നിരവധി തവണ ആവർത്തിക്കാം. പികെഐ ഡാറ്റ കമ്പ്യൂട്ടിംഗിൻ്റെയും ട്രാൻസ്മിറ്റിംഗിൻ്റെയും താരതമ്യേന റിസോഴ്‌സ്-ഇൻ്റൻസീവ് ടിഎൽഎസ് പ്രവർത്തനങ്ങൾ ആവർത്തിച്ചുള്ള അഭ്യർത്ഥനകളുടെ എണ്ണം കൊണ്ട് വിഭജിക്കപ്പെടുന്നു എന്നതിൻ്റെ ഗുണം ഇതിന് ഉണ്ട്. സ്പെഷ്യലൈസ്ഡ് എഫ്പിജിഎ ടൈംകീപ്പർമാർക്ക് ഇത് പ്രത്യേകിച്ചും സൗകര്യപ്രദമാണ്, എല്ലാ പ്രധാന പ്രവർത്തനങ്ങളും സമമിതി ക്രിപ്റ്റോഗ്രാഫി ഫീൽഡിൽ നിന്ന് നിരവധി ഫംഗ്ഷനുകളിലേക്ക് പാക്കേജ് ചെയ്യപ്പെടുമ്പോൾ, മുഴുവൻ TLS സ്റ്റാക്കും മറ്റൊരു ഉപകരണത്തിലേക്ക് മാറ്റുന്നു.

NTPSec

NTP-യുടെ പ്രത്യേകത എന്താണ്? പ്രോജക്റ്റിൻ്റെ രചയിതാവായ ഡേവ് മിൽസ് തൻ്റെ കോഡ് കഴിയുന്നത്ര മികച്ച രീതിയിൽ രേഖപ്പെടുത്താൻ ശ്രമിച്ചുവെങ്കിലും, 35 വർഷം പഴക്കമുള്ള സമയ സമന്വയ അൽഗോരിതങ്ങളുടെ സങ്കീർണതകൾ മനസ്സിലാക്കാൻ കഴിയുന്ന ഒരു അപൂർവ പ്രോഗ്രാമറാണ് ഇത്. ചില കോഡുകൾ POSIX കാലഘട്ടത്തിന് മുമ്പാണ് എഴുതിയത്, അന്ന് Unix API ഇന്ന് ഉപയോഗിക്കുന്നതിൽ നിന്ന് വളരെ വ്യത്യസ്തമായിരുന്നു. കൂടാതെ, ശബ്ദായമാനമായ ലൈനുകളിലെ ഇടപെടലിൽ നിന്ന് സിഗ്നൽ മായ്‌ക്കുന്നതിന് സ്ഥിതിവിവരക്കണക്കുകളുടെ അറിവ് ആവശ്യമാണ്.

NTP പരിഹരിക്കാനുള്ള ആദ്യ ശ്രമമല്ല NTS. DDoS ആക്രമണങ്ങൾ വർദ്ധിപ്പിക്കുന്നതിന് NTP കേടുപാടുകൾ മുതലെടുക്കാൻ ആക്രമണകാരികൾ പഠിച്ചുകഴിഞ്ഞാൽ, സമൂലമായ മാറ്റങ്ങൾ ആവശ്യമാണെന്ന് വ്യക്തമായി. NTS ഡ്രാഫ്റ്റുകൾ തയ്യാറാക്കുകയും അന്തിമമാക്കുകയും ചെയ്യുമ്പോൾ, 2014 അവസാനം യുഎസ് നാഷണൽ സയൻസ് ഫൗണ്ടേഷൻ NTP യുടെ നവീകരണത്തിനായി അടിയന്തിരമായി ഒരു ഗ്രാൻ്റ് അനുവദിച്ചു.

വർക്കിംഗ് ഗ്രൂപ്പിനെ നയിച്ചത് ആരുമല്ല, മറിച്ച് എറിക് സ്റ്റീവൻ റെയ്മണ്ട് - ഓപ്പൺ സോഴ്‌സ് കമ്മ്യൂണിറ്റിയുടെ സ്ഥാപകരിലും സ്തംഭങ്ങളിലും ഒരാളും പുസ്തകത്തിൻ്റെ രചയിതാവും കത്തീഡ്രലും ബസാറും. എറിക്കും സുഹൃത്തുക്കളും ആദ്യം ചെയ്യാൻ ശ്രമിച്ചത് ബിറ്റ്കീപ്പർ പ്ലാറ്റ്‌ഫോമിൽ നിന്ന് എൻടിപി കോഡ് ജിറ്റിലേക്ക് മാറ്റുക എന്നതാണ്, പക്ഷേ അത് അങ്ങനെ പ്രവർത്തിച്ചില്ല. പ്രോജക്റ്റ് ലീഡർ ഹാർലൻ സ്റ്റെൻ ഈ തീരുമാനത്തിന് എതിരായിരുന്നു, ചർച്ചകൾ സ്തംഭിച്ചു. തുടർന്ന് പ്രോജക്ട് കോഡ് ഫോർക്ക് ചെയ്യാൻ തീരുമാനിച്ചു, NTPSec ജനിച്ചു.

ജിപിഎസ്ഡിയിലെ ജോലി, ഗണിതശാസ്ത്ര പശ്ചാത്തലം, പുരാതന കോഡ് വായിക്കാനുള്ള മാന്ത്രിക വൈദഗ്ദ്ധ്യം എന്നിവ ഉൾപ്പെടെയുള്ള ഉറച്ച അനുഭവം - അത്തരമൊരു പ്രോജക്റ്റ് പിൻവലിക്കാൻ കഴിയുന്ന ഹാക്കർ എറിക് റെയ്മണ്ട് ആയിരുന്നു. ടീം ഒരു കോഡ് മൈഗ്രേഷൻ സ്പെഷ്യലിസ്റ്റിനെ കണ്ടെത്തി, വെറും 10 ആഴ്ചകൾക്കുള്ളിൽ NTP സ്ഥിരതാമസമാക്കിGitLab-ൽ. പണി മുഴുവനായി നടന്നു.

എറിക് റെയ്‌മണ്ടിൻ്റെ ടീം അഗസ്റ്റെ റോഡിൻ ഒരു കല്ല് ഉപയോഗിച്ച് ചെയ്തതുപോലെ ടാസ്‌ക് കൈകാര്യം ചെയ്തു. പഴയ കോഡിൻ്റെ 175 KLOC നീക്കം ചെയ്യുന്നതിലൂടെ, ആക്രമണത്തിൻ്റെ ഉപരിതലം ഗണ്യമായി കുറയ്ക്കാൻ അവർക്ക് കഴിഞ്ഞു, നിരവധി സുരക്ഷാ ദ്വാരങ്ങൾ അടച്ചു.

വിതരണത്തിൽ ഉൾപ്പെടുത്തിയിട്ടുള്ളവയുടെ അപൂർണ്ണമായ ലിസ്റ്റ് ഇതാ:

• രേഖപ്പെടുത്താത്ത, കാലഹരണപ്പെട്ട, കാലഹരണപ്പെട്ട അല്ലെങ്കിൽ തകർന്ന റിഫ്‌ക്ലോക്ക്.
• ഉപയോഗിക്കാത്ത ICS ലൈബ്രറി.
• ലിബോപ്റ്റുകൾ/ഓട്ടോജൻ.
• വിൻഡോസിനായുള്ള പഴയ കോഡ്.
• ntpdc.
• ഓട്ടോകീ.
• ntpq C കോഡ് പൈത്തണിൽ മാറ്റിയെഴുതിയിരിക്കുന്നു.
• sntp/ntpdig C കോഡ് പൈത്തണിൽ മാറ്റിയെഴുതിയിരിക്കുന്നു.

കോഡ് വൃത്തിയാക്കുന്നതിനു പുറമേ, പദ്ധതിക്ക് മറ്റ് ജോലികളും ഉണ്ടായിരുന്നു. നേട്ടങ്ങളുടെ ഒരു ഭാഗിക ലിസ്റ്റ് ഇതാ:

• ബഫർ ഓവർഫ്ലോയ്‌ക്കെതിരായ കോഡ് പരിരക്ഷണം ഗണ്യമായി മെച്ചപ്പെടുത്തിയിട്ടുണ്ട്. ബഫർ ഓവർഫ്ലോകൾ തടയാൻ, സുരക്ഷിതമല്ലാത്ത എല്ലാ സ്ട്രിംഗ് ഫംഗ്‌ഷനുകളും (strcpy/strcat/strtok/sprintf/vsprintf/gets) ബഫർ വലുപ്പ പരിധികൾ നടപ്പിലാക്കുന്ന സുരക്ഷിത പതിപ്പുകൾ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിച്ചു.
• NTS പിന്തുണ ചേർത്തു.
• ഫിസിക്കൽ ഹാർഡ്‌വെയർ ലിങ്ക് ചെയ്യുന്നതിലൂടെ മെച്ചപ്പെട്ട സമയ ഘട്ട കൃത്യത പതിന്മടങ്ങ്. ആധുനിക കമ്പ്യൂട്ടർ ക്ലോക്കുകൾ എൻടിപി ജനിച്ച കാലത്തെ അപേക്ഷിച്ച് വളരെ കൃത്യതയുള്ളതായി മാറിയതാണ് ഇതിന് കാരണം. ഇതിൻ്റെ ഏറ്റവും വലിയ ഗുണഭോക്താക്കൾ ജിപിഎസ്ഡിഒയും പ്രത്യേക സമയ റേഡിയോകളുമാണ്.
• പ്രോഗ്രാമിംഗ് ഭാഷകളുടെ എണ്ണം രണ്ടായി കുറച്ചു. Perl, awk, S സ്ക്രിപ്റ്റുകൾ എന്നിവയ്‌ക്ക് പകരം, ഇപ്പോൾ എല്ലാം പൈത്തൺ ആണ്. ഇതുമൂലം, കോഡ് പുനരുപയോഗത്തിന് കൂടുതൽ അവസരങ്ങളുണ്ട്.
• ഓട്ടോടൂൾ സ്ക്രിപ്റ്റുകളുടെ നൂഡിൽസിന് പകരം, പ്രോജക്റ്റ് ഒരു സോഫ്റ്റ്വെയർ ബിൽഡ് സിസ്റ്റം ഉപയോഗിക്കാൻ തുടങ്ങി വാഫ്.
• പ്രോജക്റ്റ് ഡോക്യുമെൻ്റേഷൻ പുതുക്കി പുനഃസംഘടിപ്പിച്ചു. വൈരുദ്ധ്യാത്മകവും ചിലപ്പോൾ പ്രാചീനവുമായ രേഖകളുടെ ശേഖരത്തിൽ നിന്ന്, അവർ തികച്ചും കടന്നുപോകാവുന്ന ഡോക്യുമെൻ്റേഷൻ സൃഷ്ടിച്ചു. എല്ലാ കമാൻഡ് ലൈൻ സ്വിച്ചിനും എല്ലാ കോൺഫിഗറേഷൻ എൻ്റിറ്റിക്കും ഇപ്പോൾ സത്യത്തിൻ്റെ ഒരൊറ്റ പതിപ്പുണ്ട്. കൂടാതെ, മാൻ പേജുകളും വെബ് ഡോക്യുമെൻ്റേഷനും ഇപ്പോൾ ഒരേ കോർ ഫയലുകളിൽ നിന്നാണ് സൃഷ്ടിച്ചിരിക്കുന്നത്.

നിരവധി ലിനക്സ് വിതരണങ്ങൾക്കായി NTPSec ലഭ്യമാണ്. ഇപ്പോൾ, ഏറ്റവും പുതിയ സ്ഥിരതയുള്ള പതിപ്പ് 1.1.8 ആണ്, Gentoo Linux-ന് ഇത് അവസാനത്തേതാണ്.

(1:696)$ sudo emerge -av ntpsec
These are the packages that would be merged, in order:
Calculating dependencies... done!
[ebuild   R    ] net-misc/ntpsec-1.1.7-r1::gentoo  USE="samba seccomp -debug -doc -early -gdb -heat -libbsd -nist -ntpviz -rclock_arbiter -rclock_generic -rclock_gpsd -rclock_hpgps -rclock_jjy -rclock_local -rclock_modem -rclock_neoclock -rclock_nmea -rclock_oncore -rclock_pps -rclock_shm -rclock_spectracom -rclock_trimble -rclock_truetime -rclock_zyfer -smear -tests" PYTHON_TARGETS="python3_6" 0 KiB
Total: 1 package (1 reinstall), Size of downloads: 0 KiB
Would you like to merge these packages? [Yes/No]

ക്രോണി

പഴയ എൻടിപിക്ക് പകരം കൂടുതൽ സുരക്ഷിതമായ ബദൽ കൊണ്ടുവരാനുള്ള മറ്റൊരു ശ്രമം കൂടി നടന്നു. Chrony, NTPSec-ൽ നിന്ന് വ്യത്യസ്തമായി, ഗ്രൗണ്ടിൽ നിന്ന് എഴുതിയതാണ്, കൂടാതെ അസ്ഥിരമായ നെറ്റ്‌വർക്ക് കണക്ഷനുകൾ, ഭാഗിക നെറ്റ്‌വർക്ക് ലഭ്യത അല്ലെങ്കിൽ തിരക്ക്, താപനില മാറ്റങ്ങൾ എന്നിവയുൾപ്പെടെ വിവിധ സാഹചര്യങ്ങളിൽ വിശ്വസനീയമായി പ്രവർത്തിക്കാൻ രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ്. കൂടാതെ, ക്രോണിക്ക് മറ്റ് ഗുണങ്ങളുണ്ട്:

• ക്രോണിക്ക് കൂടുതൽ കൃത്യതയോടെ സിസ്റ്റം ക്ലോക്ക് വേഗത്തിൽ സമന്വയിപ്പിക്കാൻ കഴിയും;
• chrony ചെറുതാണ്, കുറച്ച് മെമ്മറി ഉപയോഗിക്കുന്നു, ആവശ്യമുള്ളപ്പോൾ മാത്രം CPU ആക്സസ് ചെയ്യുന്നു. വിഭവങ്ങളും ഊർജ്ജവും സംരക്ഷിക്കുന്നതിനുള്ള ഒരു വലിയ പ്ലസ് ആണ് ഇത്;
• chrony ലിനക്സിൽ ഹാർഡ്‌വെയർ ടൈംസ്റ്റാമ്പുകളെ പിന്തുണയ്ക്കുന്നു, ഇത് ലോക്കൽ നെറ്റ്‌വർക്കുകളിൽ വളരെ കൃത്യമായ സമന്വയം അനുവദിക്കുന്നു.

എന്നിരുന്നാലും, ബ്രോഡ്കാസ്റ്റ്, മൾട്ടികാസ്റ്റ് ക്ലയൻ്റ്/സെർവർ തുടങ്ങിയ പഴയ NTP-യുടെ ചില സവിശേഷതകൾ chrony-ന് ഇല്ല. കൂടാതെ, ക്ലാസിക് NTP ഒരു വലിയ സംഖ്യ ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളെയും പ്ലാറ്റ്ഫോമുകളെയും പിന്തുണയ്ക്കുന്നു.

chronyd പ്രക്രിയയിലേക്കുള്ള സെർവറിൻ്റെയും NTP അഭ്യർത്ഥനകളുടെയും പ്രവർത്തനക്ഷമത പ്രവർത്തനരഹിതമാക്കുന്നതിന്, chrony.conf ഫയലിൽ പോർട്ട് 0 എഴുതുക. NTP ക്ലയൻ്റുകൾക്കോ ​​സഹപാഠികൾക്കോ ​​സമയം നിലനിർത്തേണ്ട ആവശ്യമില്ലാത്ത സന്ദർഭങ്ങളിലാണ് ഇത് ചെയ്യുന്നത്. പതിപ്പ് 2.0 മുതൽ, എൻടിപി സെർവർ പോർട്ട് തുറക്കുന്നത് അനുവദിക്കുന്ന നിർദ്ദേശം അല്ലെങ്കിൽ ഉചിതമായ കമാൻഡ് വഴി ആക്സസ് അനുവദിക്കുമ്പോൾ അല്ലെങ്കിൽ ഒരു എൻടിപി പിയർ കോൺഫിഗർ ചെയ്യുമ്പോൾ അല്ലെങ്കിൽ ഒരു ബ്രോഡ്കാസ്റ്റ് നിർദ്ദേശം ഉപയോഗിക്കുമ്പോൾ മാത്രമാണ്.

പ്രോഗ്രാമിൽ രണ്ട് മൊഡ്യൂളുകൾ അടങ്ങിയിരിക്കുന്നു.

• chronyd പശ്ചാത്തലത്തിൽ പ്രവർത്തിക്കുന്ന ഒരു സേവനമാണ്. ഇത് സിസ്റ്റം ക്ലോക്കും ബാഹ്യ സമയ സെർവറും തമ്മിലുള്ള വ്യത്യാസത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ സ്വീകരിക്കുകയും പ്രാദേശിക സമയം ക്രമീകരിക്കുകയും ചെയ്യുന്നു. ഇത് NTP പ്രോട്ടോക്കോൾ നടപ്പിലാക്കുകയും ഒരു ക്ലയൻ്റ് അല്ലെങ്കിൽ സെർവർ ആയി പ്രവർത്തിക്കുകയും ചെയ്യുന്നു.
• പ്രോഗ്രാം നിരീക്ഷണത്തിനും നിയന്ത്രണത്തിനുമുള്ള ഒരു കമാൻഡ് ലൈൻ യൂട്ടിലിറ്റിയാണ് chronyc. വിവിധ സേവന പാരാമീറ്ററുകൾ മികച്ചതാക്കാൻ ഉപയോഗിക്കുന്നു, ഉദാഹരണത്തിന് chronyd പ്രവർത്തിക്കുന്നത് തുടരുമ്പോൾ NTP സെർവറുകൾ ചേർക്കാനോ നീക്കം ചെയ്യാനോ നിങ്ങളെ അനുവദിക്കുന്നു.

RedHat Linux-ൻ്റെ പതിപ്പ് 7 മുതൽ ഉപയോഗിക്കുന്നു ഒരു സമയ സമന്വയ സേവനമായി chrony. മറ്റ് ലിനക്സ് വിതരണങ്ങൾക്കും പാക്കേജ് ലഭ്യമാണ്. ഏറ്റവും പുതിയ സ്ഥിരതയുള്ള പതിപ്പ് 3.5 ആണ്, v4.0-ൻ്റെ റിലീസിനായി തയ്യാറെടുക്കുന്നു.

(1:712)$ sudo emerge -av chrony
These are the packages that would be merged, in order:
Calculating dependencies... done!
[binary  N     ] net-misc/chrony-3.5-r2::gentoo  USE="adns caps cmdmon ipv6 ntp phc readline refclock rtc seccomp (-html) -libedit -pps (-selinux)" 246 KiB
Total: 1 package (1 new, 1 binary), Size of downloads: 246 KiB
Would you like to merge these packages? [Yes/No]

ഒരു ഓഫീസ് നെറ്റ്‌വർക്കിൽ സമയം സമന്വയിപ്പിക്കുന്നതിന് ഇൻ്റർനെറ്റിൽ നിങ്ങളുടെ സ്വന്തം റിമോട്ട് ക്രോണി സെർവർ എങ്ങനെ സജ്ജീകരിക്കാം. ഒരു VPS സജ്ജീകരിക്കുന്നതിനുള്ള ഒരു ഉദാഹരണം ചുവടെയുണ്ട്.

VPS-ൽ RHEL / CentOS-ൽ Chrony സജ്ജീകരിക്കുന്നതിൻ്റെ ഉദാഹരണം

നമുക്ക് ഇപ്പോൾ കുറച്ച് പരിശീലിച്ച് VPS-ൽ നമ്മുടെ സ്വന്തം NTP സെർവർ സജ്ജീകരിക്കാം. ഇത് വളരെ ലളിതമാണ്, RuVDS വെബ്സൈറ്റിൽ ഉചിതമായ താരിഫ് തിരഞ്ഞെടുക്കുക, ഒരു റെഡിമെയ്ഡ് സെർവർ നേടുകയും ഒരു ഡസൻ ലളിതമായ കമാൻഡുകൾ ടൈപ്പ് ചെയ്യുകയും ചെയ്യുക. ഞങ്ങളുടെ ആവശ്യങ്ങൾക്ക്, ഈ ഓപ്ഷൻ തികച്ചും അനുയോജ്യമാണ്.

നമുക്ക് സേവനം സജ്ജീകരിക്കുന്നതിലേക്ക് പോകാം, ആദ്യം chrony പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യുക.

[root@server ~]$ yum install chrony

RHEL 8 / CentOS 8 മറ്റൊരു പാക്കേജ് മാനേജർ ഉപയോഗിക്കുന്നു.

[root@server ~]$ dnf install chrony

ക്രോണി ഇൻസ്റ്റാൾ ചെയ്ത ശേഷം, നിങ്ങൾ സേവനം ആരംഭിച്ച് സജീവമാക്കേണ്ടതുണ്ട്.

[root@server ~]$ systemctl enable chrony --now

വേണമെങ്കിൽ, നിങ്ങൾക്ക് /etc/chrony.conf എന്നതിൽ മാറ്റങ്ങൾ വരുത്താം, പ്രതികരണ സമയം കുറയ്ക്കുന്നതിന് NPT സെർവറുകൾ അടുത്തുള്ള പ്രാദേശികവ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കാം.

# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
server 0.ru.pool.ntp.org iburst
server 1.ru.pool.ntp.org iburst
server 2.ru.pool.ntp.org iburst
server 3.ru.pool.ntp.org iburst

അടുത്തതായി, നിർദ്ദിഷ്ട പൂളിൽ നിന്നുള്ള നോഡുകൾ ഉപയോഗിച്ച് NTP സെർവറിൻ്റെ സമന്വയം ഞങ്ങൾ സജ്ജമാക്കുന്നു.

[root@server ~]$ timedatectl set-ntp true
[root@server ~]$ systemctl restart chronyd.service

NTP പോർട്ട് പുറത്തേക്ക് തുറക്കേണ്ടതും ആവശ്യമാണ്, അല്ലാത്തപക്ഷം ക്ലയൻ്റ് നോഡുകളിൽ നിന്നുള്ള ഇൻകമിംഗ് കണക്ഷനുകളെ ഫയർവാൾ തടയും.

[root@server ~]$ firewall-cmd --add-service=ntp --permanent 
[root@server ~]$ firewall-cmd --reload

ക്ലയൻ്റ് ഭാഗത്ത്, സമയ മേഖല ശരിയായി സജ്ജീകരിച്ചാൽ മതി.

[root@client ~]$ timedatectl set-timezone Europe/Moscow

NTP സെർവർ chrony പ്രവർത്തിക്കുന്ന ഞങ്ങളുടെ VPS സെർവറിൻ്റെ IP അല്ലെങ്കിൽ ഹോസ്റ്റ് നാമം /etc/chrony.conf ഫയൽ വ്യക്തമാക്കുന്നു.

server my.vps.server

ഒടുവിൽ, ക്ലയൻ്റിൽ സമയ സമന്വയം ആരംഭിക്കുന്നു.

[root@client ~]$ systemctl enable --now chronyd
[root@client ~]$ timedatectl set-ntp true

ഇൻ്റർനെറ്റ് ഇല്ലാതെ സമയം സമന്വയിപ്പിക്കുന്നതിനുള്ള ഓപ്ഷനുകൾ എന്താണെന്ന് അടുത്ത തവണ ഞാൻ നിങ്ങളോട് പറയും.

അവലംബം: www.habr.com