ntpsec logotipas
NTPsec yra atvirojo kodo projektas kuri orientuota į plėtrą saugus ir patobulintas įgyvendinimas tinklo laiko protokolo (NTP), kuris plačiai naudojamas kompiuterinių sistemų laikrodžiams tinkle sinchronizuoti, užtikrinant tikslų ir nuoseklų laiko matavimą.
Šio tipo komponentai, dažniausiai yra tie, kurių dauguma vartotojų nepaiso (Ir aš įtraukiu save, nes dar prieš kelis mėnesius nesupratau šio mažo protokolo svarbos), kadangi tai yra kažkas, kas yra už mūsų kasdienybės, tai nepastebima.
Mano atveju aš atradau NTP svarbą kai norėjau atlikti savo sistemos (Arco Linux) „paprastą atnaujinimą“, kurią palikau neatidarytą kelis mėnesius. Trumpai tariant, po to, kai visi atnaujinimai buvo atsisiųsti ir teoriškai jie turėjo būti įdiegti, jie tiesiog nebuvo įdiegti, nes turėjau problemų su paketuose esančiais OpenPGP raktais ir dėl akivaizdžių priežasčių palikau sistemą mėnesių, tai sukels rimtą problemą.
Padaręs 101 dalyką ir viską išbandęs ir net išnaudojęs kompiuterį, aš tiesiog negalėjau išspręsti savo problemos ir artimiausias sprendimas buvo iš naujo įdiegti sistemą nuo nulio, kas man nepatiko.
Kažkas, ką pastebėjau per visą problemos sprendimo procesą, yra tai, kad mano sistemos laikas skyrėsi nuo mano buvimo vietos laiko ir šiek tiek tyrinėjant, kad nedidelis laiko pasikeitimas sukėlė problemą bandant importuoti naujus raktus (kaip minėta palaimintasis arch wiki). Perskaičius šį tekstą, pirmas dalykas, kurį sugeneravau pliaukštelėjimu man į kaktą, bandžiau pakeisti laiką ir nedelsdamas paleidau iš naujo, kad patikrinčiau, ar BIOS data ir laikas yra teisingi. Po to vėl paleidau sistemą, kad pasiruoščiau atlikti pakeitimą taip, lyg tai būtų įprastas procesas sistemoje „Windows“ ar „Android“, o tai buvo rimta klaida turėti įpročius prieš analizuojant.
Nesvarbu, kiek aš bandžiau išspręsti problemą vienu ar kitu būdu, problema mano sistemoje buvo ntp paketas, esantis mano įdiegime, dėl tam tikrų priežasčių, dėl kurių negalėjau išspręsti paketo, man paprasčiausiai kilo problemų. Čia radau NTPsec, kuris buvo mano sprendimas po kelių bandymų išspręsti mano problemą.
NTPsec yra patobulintas NTP diegimas, kuriame yra daug saugumo patobulinimų., nes jis turi IETF tinklo laiko apsaugos standarto įgyvendinimas stipriam kriptografiniam laiko tarnybos autentifikavimui. Iš viso, daugiau nei 74 % NTP Classic kodų bazės buvo visiškai pašalinta, ir mažiau nei 5 % naujo kodo buvo įtraukta į saugumui svarbią šerdį, taip pat nuosekliau naudojamas nanosekundžių tikslumas.
Tarp saugumo patobulinimų, pašalinti pasenę režimai ir funkcijos, priimtas NTP Client Data Minimization RFC standartas ir tinklo laiko apsauga buvo įtraukta. Be to, buvo atlikti laiko sinchronizavimo pakeitimai ir patobulinti kliento įrankiai, atitinkamai naudojant naujas priemones, tokias kaip ntpmon ir ntpviz, skirtos stebėti realiuoju laiku ir vizualizuoti duomenis.
Šiek tiek paaiškindami galime šiek tiek geriau suprasti šio „mažo“ komponento svarbą, kuris įprastam vartotojui sukėlė galvos skausmą, o kritinėje aplinkoje nenoriu įsivaizduoti, kokią nelaimę jis gali sukelti.
Atsižvelgiant į „ne tokį platų“ NTP svarbos paaiškinimą, mano mažo „nuotykio“ priežastis yra ta, kad Neseniai buvo išleista nauja NTPsec 1.2.3 versija:
Tarp naujos versijos patobulinimų Yra:
- Pakeistas 6 režimo valdymo protokolo paketų lygiavimas, kuris gali turėti įtakos klasikinio NTP palaikymui. 6 režimas naudojamas informacijai apie serverio būseną perduoti ir elgsenai keisti realiuoju laiku.
- AES šifravimo algoritmas buvo įdiegtas pagal numatytuosius nustatymus ntpq.
- Naudojant Seccomp mechanizmą blogiems sistemos skambučių pavadinimams blokuoti.
- Įgalintas valandinis pakartotinio paleidimo statistikos rinkimas, papildomai registruojant NTS, NTS-KE ir ms-sntp.
- Parinkties "atnaujinimas" įtraukimas į "buildprep".
- Patobulinimai, susiję su paketų delsos duomenų pateikimu ntpdig JSON išvestyje.
- Pridėtas ecdhcurves sąrašo palaikymas.
- Ištaisytas kompiliavimas platformose, kurios -fstack-protector priklauso nuo libssp, pvz., musl.
- Ištaisyta ntpdig gedimas naudojant 2.ntp.pool.org su pagrindiniu kompiuteriu be IPv6 palaikymo.
Galiausiai, jei esate ašNorite sužinoti daugiau apie tai, išsamią informaciją galite patikrinti kita nuoroda.