Комитет IETF (Internet Engineering Task Force), занимающийся развитием протоколов и архитектуры интернета, завершил формирование RFC для протокола NTS (Network Time Security) и опубликовал связанную с ним спецификацию под идентификатором RFC 8915. RFC получил статус "Предложенного стандарта", после чего начнётся работа по приданию RFC статуса чернового стандарта (Draft Standard), фактически означающего полную стабилизацию протокола и учёт всех высказанных замечаний...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=53862

• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,сукуб, 21:57 , 09-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,пох., 22:29 , 09-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,RomanCh, 22:34 , 09-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,ПэЖэ, 23:21 , 09-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,RomanCh, 02:53 , 10-Окт-20
          • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 05:08 , 10-Окт-20
            • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ковид20, 08:40 , 10-Окт-20
              • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 11:44 , 10-Окт-20
            • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,YetAnotherOnanym, 09:39 , 10-Окт-20
            • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,RomanCh, 11:30 , 10-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 09:51 , 10-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,БСФК, 19:34 , 11-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Annoynymous, 23:58 , 09-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Annoynymous5123123, 21:26 , 10-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,онанимуз, 22:22 , 10-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 21:59 , 11-Окт-20
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Dzen Python, 00:08 , 10-Окт-20
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 04:02 , 10-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,malloc, 08:33 , 10-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 08:42 , 10-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ordu, 10:59 , 10-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 11:43 , 10-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ordu, 12:18 , 10-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ыр20, 20:30 , 10-Май-22
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ананимус, 10:37 , 10-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 13:57 , 10-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ананимус, 22:17 , 10-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 16:12 , 11-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ананимус, 22:44 , 11-Окт-20
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 10:42 , 10-Окт-20
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 11:43 , 10-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 14:00 , 10-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 14:22 , 10-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Сейд, 18:35 , 10-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 16:09 , 11-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Сейд, 16:53 , 11-Окт-20
          • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 11:57 , 12-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Ыр20, 20:31 , 10-Май-22
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,пох., 08:51 , 11-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 11:47 , 11-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 12:20 , 11-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 16:19 , 11-Окт-20
          • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Сейд, 19:12 , 11-Окт-20
          • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 21:15 , 11-Окт-20
            • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 12:00 , 12-Окт-20
              • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Сейд, 14:26 , 12-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,пох., 10:00 , 13-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 12:18 , 11-Окт-20
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 16:06 , 11-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 20:09 , 11-Окт-20
        • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 20:13 , 11-Окт-20
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,YetAnotherOnanym, 11:56 , 10-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,OpenEcho, 16:38 , 10-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 11:43 , 11-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 12:21 , 11-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 14:10 , 11-Окт-20
    • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,nuclight, 14:45 , 22-Фев-21
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 21:07 , 22-Фев-21
      • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Онаним, 21:14 , 22-Фев-21
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Старый ниггер, 20:24 , 11-Окт-20
  • Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,kmeaw, 00:51 , 12-Окт-20
• Выпуск NTP-серверов NTPsec 1.2.0 и Сhrony 4.0 с поддержкой з...,Аноним, 18:15 , 15-Окт-20

Ну хоть кому-то мозга хватило этим занятся.
И хорошо что не завернули в смузихлёбный http + json

> Ну хоть кому-то мозга хватило этим занятся.

тем кому не хватило мозга банально настроить авторизацию в банальном ntpd ?

> И хорошо что не завернули в смузихлёбный http + json

у них и так оверинжинеренное ненужно успешно получилось.

И, разумеется, вместо распределенной сети пиров - потреблять завязанная на единственный глючный сервер "авторизации" с меганавороченным протоколом, при сдыхании которого вся блоатварь превращается в тыкву.

> вместо распределенной сети пиров - потреблять завязанная на единственный глючный сервер "авторизации" с меганавороченным протоколом, при сдыхании которого вся блоатварь превращается в тыкву.

Но ведь это универсальная современная концепция внедряемая решительно везде. Вы так говорите, будто не довольны прогрессом.

>Но ведь это универсальная современная концепция внедряемая решительно везде. Вы так говорите, будто не довольны прогрессом.

не всё что развивается со временем является прогрессом - например ржавчина, гниение и плесень  

>  ржавчина, гниение и плесень  

Вы так говорите, будто не знаете что всё относительно, и что кому-то гниение, другому - жизненно необходимый процесс.

И в конце концов, вы будто бы имеете что-то предложить лучше чем вот это всё?

Ты ещё вирусы вспомни и не лечись от них никогда!

В ананиме бактерий больше, чем клеток.

Внезапно бактерии - тоже клетки.
Марш в школу.

Строго говоря, гниение, происходящее в компостной куче, есть процесс жизненно необходимый для плодородия почвы. Равно же и размножение плесени в жбане на фармзаводе есть также процесс жизненно необходимый для пациентов, ожидающих лекарства.

То есть, по существу вам ответить таки нечего. Так и запишем, противник современного прогресса. Чтобы Илон Маск не давал тебе благословенного небесного интернета.

В экосфере гниение является удалением отходов филогенеза и созданием топлива для более неизких уровней и таким образом является неотделимой частью прогресса первой. Тут претензии, пока, только к тепловой смерти вселенной

все вами перечисленное и есть прогресс, именно ржавчина дает вам возможность жить, этот процесс называется газообмен при помощи эритроцитов, плесень - основа всех антибиотиков, ну а гниение это естественный механизм очистки

> И хорошо что не завернули в смузихлёбный http + json

https + json!

http2 + grpc!

http3 тогда уж

И в asn.1

1/10
Добавлять теперь ключи для NTP-серверов. А потом для чего? Для небав, для алл*ха?

Т.е. теперь если у тебя неправильное время, то его и синхронизировать не получится, потому что TLS работать не будет?

Да, именно так. Пир с неправильным временем потенциально опасен. Потому что не исключено, что он жертва злоумышленников, которые манипулировали временем на нём. Такой хост вообще подлежит немедленной физической утилизации. А то мало ли что злоумышленники там подменили? Вдруг местная фирмварь уже не подлинная или iME (или аналог)? Вы же как администратор NTP-сервера не можете ручаться за клиентов, так?
Скажите спасибо, что новый протокол не предусматривает высылку пативанов всем, чей тайм скью превышает условную 1 секунду.

> новый протокол не предусматривает высылку пативанов всем ...

Там, это, святой Илон обещает исправить клиента в любой точке Земли менее, чем за час, путём высылки 80-тонного патча.

Надо выводить на рынок астрономические часы. Эдакую инсталляцию на крышу с камерой, которая будет снимать картинки неба и на основании них определять дату/время. Работать будет через раз из-за погодных условий, точность будет не фонтан, но позволит разорвать порочный круг.

Может лучше не стоит создавать этот порочнй круг? Это дешевле и проще, и никакого оверинжиниринга.

> Может лучше не стоит создавать этот порочнй круг? Это дешевле и проще,
> и никакого оверинжиниринга.

Тут вопрос в том, насколько возможно сделать прибыльным бизнес с астрономическими часами. Если возможно, то лучше с порочным кругом -- возможность заработать инженеру.

Точность определения времени по звёздам - 1 мс. Можно наблюдать в любую погоду, т.к. рентген свободно проходит через тучи.

Забавно, что в openbsd додумались сделать констрейнты с любой https страницы (привет, поле date), а эти целый протокол нагородили.

htpdate уже сто лет в обед, но точность у этого механизма — плюс-минус секунда. У NTP эдак в тысячу-другую раз точнее.

Ты не понял фишки. У них NTP, просто приходящие значения сравниваются с указанной тобой страницей, чтобы проверить, что время от пира выглядит как что-то вменяемое.

То есть уход времени на одну секунду оно не заметит, потому что это укладывается в погрешность.

А вообще, в NTP редко используется менее трех серверов синхронизации, и если уж злой дядя перехватил и переписал показания минимум двух, то веб-запросы до одного сайта зарезать ему вообще не проблема.

NTP ПОДВЕРЖЕН MITM, ничего захватывать не надо. Констрейнты позволяют понять, что либо пир бажный, либо, если все пиры присылают дичь, происходит что-то не то.

Чего только не выдумывают люди, чтобы не использовать IPSec!

Спасибо, ребята, но нет.
Особенно с отдельным сервером ключей.
Свой GPS-источник выйдет дешевле, проще и надёжнее.

В целях безопасности, GPS скоро тоже будет только шифрованный.
Остается глонасс и галилео с полутора подводными спутниками. Точность такая себе.

Вам лично Трамп нашептал?

Ещё есть служба времени «Бета».

В случае кризиса демократии, Бету западные партнёры уничтожат первым делом (по основному назначению — это радиокомплекс ВМФ России для связи с подводными лодками).

Деградация ГЛОНАСС вероятнее кризиса демократии (если спутники начнут выходить из строя в ближайшие год-два, заменить их будет нечем).

Бета существует гораздо дольше, чем спутниковая навигация как таковая. И проблемы глонасса ей параллельно.

Точность что GPS, что Глонасс, что Галилео - 1 см.

> Свой GPS-источник выйдет дешевле, проще и надёжнее.

Вот самое интересное как раз в том, что в отличие от очень теоретической возможности правдоподобно подделать ответы ntpd, совершенно практические и активно применяемые на территории как минимум одной ресурсной ფедерации технологии подделки данных gps существуют давным-давно.

Кто-нибудь, расскажите эту ценную новость придуркам из ietf.

Да да, вот когда начнут глушить спутники у тебя обязательно будет интернет с доступом к любимому нтп серверу где ты вот так вот безпалевно будешь синхронизироваться.. Именно так все и будет, Ванга предсказала.

Не, он прав. GPS как единственный источник может быть стрёмно в определённых условиях.

Менее стрёмно чем удалённые NTP (которые даже шифрованными могут попасть под контроль хакеров), но всё равно стрёмно.

Те конторы, которым действительно есть основания опасаться подобной атаки, как правило, могут себе позволить ящик с PPS, типа Meinberg LANTIME.

У которого источник синхронизации — ГЛОНАСС.

Ну а по большому счету, все это гнилые отмазки лишь бы сделать "ненужным" протокол udp и потом его запретить, причем запретить так чтоб кроме определенных пакетов tcp в определенных направляниях не ходило ничего, а пользователи приходили со своими бутылками. И вот тогда будет счастье, свобода и демократия !

В то время как гугл со своим HTTP over UDP бороздит большой театр...

Нет, они воюют не с UDP, а с нешифрованным трафиком. Потому что централизованная структура PKI открывает огромные возможности для шпионажа и блокировок. Причём только для избранных.

Лучше только для избранных, чем для всех.

> Да да, вот когда начнут глушить спутники у тебя обязательно будет интернет с доступом к любимому
> нтп серверу

конечно будет - какой именно сервер сегодня особенно любим - товарищ майор укажутъ!

Но ты, кажется, недопонимаешь в какой стране живешь. Там где боевые ОВ могут использоваться мелким криминалом для устранения конкурентов, точно так же мелкий криминал может (и недорого) взять в аренду (вместе с прикованным лейтенантом для управления) или купить персональный мобильный комплекс РЭБ с фичейб заметь, не подавления, а _подмены_ gps-сигналов. Оно именно подменяет, а не глушит.

Ну кстати да, спуфинг GPS не дешёвое удовольствие, но локально возможен.
Можно в дубль поставить цезиевый источник рядом.

> Можно в дубль поставить цезиевый источник рядом.

Дёшево, удобно, сердито!

К тому же, при наличии двух источников синхронизации (GPS и PPS), ntpd выберет за "правильный" один из них, причём выбор зависит от такого множества факторов, что его можно считать случайным.

Смотри. Допустим GPS использовать для начальной синхронизации, PPS для поддержания незыблемости тиков.
Таким образом спуфинг GPS становится не актуальным за исключением рестарта всех локальных нод NTP.

И это только если ну реально нужно сделать так, чтобы спуфинг GPS вообще был фиолетов.
Если же уровень доверия к GPS достаточен и риск спуфинга ключевой роли не играет, то достаточно просто GPS.

А предлагаемое извращение над инфраструктурой в этом смысле ничем не лучше "просто GPS", по сути. Потому что возможна компрометация источника, при сохранении валидности ключей.

Пц... И всё это для того, чтобы спросить "мусью, скольки время?".
Нагородили кучу лишнего обвеса, чтобы в вопросе об источнике доверия перевести стрелки на PKI.
Проще было бы скачать с сайта NIST или ВНИИФТРИ (когда у ВНИИФТРИ появится доступ к сайту по https) открытый ключ и проверять им ответы, подписанные соответствующим закрытым ключом. В этом случае цепочка доверия идёт от УЦ, записанного в моём броузере, т.е. опирается на ту же инфраструктуру PKI.

> Пц... И всё это для того, чтобы спросить "мусью, скольки время?".

Нет, это все для того, что бы идентифицировать весь трафик, что бы знать who is who

Это как с https - чтоб сливали всю инфу более ахотно чем через просто http

Кстати да. Самым простым решением видится gpg. Или даже тупо DTLS.

И повесить его через cloudflare обязательно, для безопасности :D

DTLS внесёт задержки, мешающие работе собственно точного времени.

Но да, сервер ключей на TLS, для которого опять же УЖЕ нужно точное время - это смешно.

> DTLS внесёт задержки, мешающие работе собственно точного времени.

По сравнению с задержками, которые вносят транзитные узлы на тех сетях, где TLS нужен, ну, вы поняли.

Для TLS не нужно _настолько_ точного времени.

Почему не использовать путь разных серверов? Всех же не захакают. А те кто не парятся и так не будут заморачиваться всем этим.

Можно захакать канал до всех серверов. Например, линк между вами и ISP.

> а аутентификация по ключам не получила распространение так как слишком усложнена для настройки

Ну тут-то зато всё просто