Utgivelse av NTPsec 1.2.0 og Chrony 4.0 NTP-servere med støtte for den sikre NTS-protokollen

IETF (Internet Engineering Task Force) Committee, som utvikler protokollene og arkitekturen til Internett, fullført dannelsen av en RFC for NTS (Network Time Security)-protokollen og publiserte en tilknyttet spesifikasjon under identifikatoren RFC 8915. RFC fikk status som «Proposed Standard», hvoretter arbeidet vil starte med å gi RFC status som et utkast til standard (Draft Standard), som faktisk betyr fullstendig stabilisering av protokollen og tatt i betraktning alle kommentarer som er gitt.

Standardiseringen av NTS er et viktig skritt for å forbedre sikkerheten til tidssynkroniseringstjenester og beskytte brukere mot angrep som imiterer NTP-serveren som klienten kobler seg til. Ondsinnet manipulasjon av å stille inn feil tid kan brukes til å kompromittere sikkerheten til andre tidsbevisste protokoller som TLS. For eksempel kan endring av tidspunkt føre til feiltolking av data om gyldigheten av TLS-sertifikater. Til nå har NTP og symmetrisk kryptering av kommunikasjonskanaler ikke gjort det mulig å garantere at klienten samhandler med målet, og ikke en falsk NTP-server, og nøkkelautentisering har ikke vunnet popularitet fordi den er for komplisert å konfigurere.

NTS bruker Public Key Infrastructure (PKI)-elementer og tillater bruk av TLS og Authenticated Encryption with Associated Data (AEAD)-kryptering for å kryptografisk sikre klient-server-kommunikasjon over NTP (Network Time Protocol). NTS inkluderer to separate protokoller: NTS-KE (NTS Key Establishment for å håndtere innledende autentisering og nøkkelforhandling over TLS) og NTS-EF (NTS Extension Fields, ansvarlig for kryptering og autentisering av tidssynkroniseringsøkten). NTS legger til flere utvidede felt til NTP-pakker og lagrer all tilstandsinformasjon kun på klientsiden ved å bruke en mekanisme for overføring av informasjonskapsler. Nettverksport 4460 er tildelt for behandling av tilkoblinger via NTS-protokollen.

De første implementeringene av en standardisert NTS er foreslått i nylig publiserte utgaver NTPsec 1.2.0 и Chrony 4.0. Chrony gir en uavhengig implementering av en NTP-klient og -server som brukes til å synkronisere nøyaktig tid i ulike Linux-distribusjoner, inkludert Fedora, Ubuntu, SUSE/openSUSE og RHEL/CentOS. NTPsec utvikler seg ledet av Eric S. Raymond og er en fork av referansen NTPv4-protokollimplementering (NTP Classic 4.3.34. minne og strenger).

Kilde: opennet.ru