การเปิดตัวเซิร์ฟเวอร์ NTP NTPsec 1.2.0 และ Chrony 4.0 พร้อมรองรับโปรโตคอล NTS ที่ปลอดภัย

คณะกรรมการ IETF (Internet Engineering Task Force) ซึ่งพัฒนาโปรโตคอลและสถาปัตยกรรมอินเทอร์เน็ต สมบูรณ์ การสร้าง RFC สำหรับโปรโตคอล NTS (Network Time Security) และเผยแพร่ข้อกำหนดที่เกี่ยวข้องภายใต้ตัวระบุ RFC 8915. RFC ได้รับสถานะเป็น "มาตรฐานที่เสนอ" หลังจากนั้นงานจะเริ่มให้สถานะร่างมาตรฐานแก่ RFC (มาตรฐานร่าง) ซึ่งจริงๆ แล้วหมายถึงการรักษาเสถียรภาพของโปรโตคอลโดยสมบูรณ์และคำนึงถึงความคิดเห็นทั้งหมดที่ทำ

การกำหนดมาตรฐาน NTS เป็นขั้นตอนสำคัญในการปรับปรุงความปลอดภัยของบริการการซิงโครไนซ์เวลา และปกป้องผู้ใช้จากการโจมตีที่เลียนแบบเซิร์ฟเวอร์ NTP ที่ไคลเอนต์เชื่อมต่ออยู่ การจัดการตั้งเวลาที่ไม่ถูกต้องของผู้โจมตีสามารถใช้เพื่อลดความปลอดภัยของโปรโตคอลที่คำนึงถึงเวลาอื่นๆ เช่น TLS ตัวอย่างเช่น การเปลี่ยนแปลงเวลาอาจนำไปสู่การตีความข้อมูลเกี่ยวกับความถูกต้องของใบรับรอง TLS อย่างไม่ถูกต้อง จนถึงขณะนี้ NTP และการเข้ารหัสแบบสมมาตรของช่องทางการสื่อสารไม่สามารถรับประกันได้ว่าไคลเอ็นต์จะโต้ตอบกับเป้าหมายและไม่ใช่เซิร์ฟเวอร์ NTP ที่ปลอมแปลง และการรับรองความถูกต้องของคีย์ยังไม่แพร่หลายเนื่องจากมีความซับซ้อนเกินกว่าจะกำหนดค่า

NTS ใช้องค์ประกอบของโครงสร้างพื้นฐานคีย์สาธารณะ (PKI) และอนุญาตให้ใช้การเข้ารหัส TLS และ AEAD (การเข้ารหัสที่ได้รับการรับรองพร้อมข้อมูลที่เกี่ยวข้อง) เพื่อปกป้องการโต้ตอบระหว่างไคลเอนต์และเซิร์ฟเวอร์โดยใช้การเข้ารหัสโดยใช้ NTP (Network Time Protocol) NTS มีโปรโตคอลสองแบบแยกกัน: NTS-KE (การสร้างคีย์ NTS สำหรับจัดการการรับรองความถูกต้องเบื้องต้นและการเจรจาคีย์ผ่าน TLS) และ NTS-EF (ฟิลด์ส่วนขยาย NTS รับผิดชอบในการเข้ารหัสและการรับรองความถูกต้องของเซสชันการซิงโครไนซ์เวลา) NTS เพิ่มฟิลด์ขยายหลายฟิลด์ให้กับแพ็กเก็ต NTP และเก็บข้อมูลสถานะทั้งหมดเฉพาะบนฝั่งไคลเอ็นต์โดยใช้กลไกคุกกี้ พอร์ตเครือข่าย 4460 ได้รับการจัดสรรสำหรับการประมวลผลการเชื่อมต่อผ่านโปรโตคอล NTS

การใช้งานครั้งแรกของ NTS ที่ได้มาตรฐานนั้นถูกเสนอในรีลีสที่เผยแพร่เมื่อเร็วๆ นี้ NTPsec 1.2.0 и โครนี่ 4.0. โครนี่ มอบการใช้งานไคลเอ็นต์และเซิร์ฟเวอร์ NTP อิสระที่ใช้ในการซิงโครไนซ์เวลาใน Linux ต่างๆ รวมถึง Fedora, Ubuntu, SUSE/openSUSE และ RHEL/CentOS NTPsec กำลังพัฒนา ภายใต้การนำของ Eric S. Raymond และเป็นทางแยกของการดำเนินการอ้างอิงของโปรโตคอล NTPv4 (NTP Classic 4.3.34) โดยมุ่งเน้นไปที่การทำงานใหม่ฐานโค้ดเพื่อปรับปรุงความปลอดภัย (ล้างโค้ดที่ล้าสมัยโดยใช้วิธีป้องกันการโจมตีและได้รับการป้องกัน ฟังก์ชั่นสำหรับการทำงานกับหน่วยความจำและสตริง)

ที่มา: opennet.ru