--- id: CP-492 slug: sincronizzazione-oraria-ntp-sicura lang: it title: La sincronizzazione oraria sicura description: Perché i computer di un'azienda devono condividere la stessa ora, cosa fa il dipendente e le insidie di un server dell'ora configurato male. canonical_url: https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura/ markdown_url: https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La sincronizzazione oraria sicura», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura/ (CC BY 4.0) wing: 3 theme: understand_cyberspace reflex: cr-060 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura/ fr: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ en: https://startbrain.io/cyberpedia/en/articles/secure-ntp-time-synchronization/ de: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ es: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ nl: https://startbrain.io/cyberpedia/nl/articles/veilige-tijdsynchronisatie-ntp/ sources: - "n": 1 title: Maximum tolerance for computer clock synchronization publisher: Microsoft url: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) accessed: "2026-11-03" - "n": 2 title: Windows Time Service (W32Time) publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top accessed: "2026-11-03" - "n": 3 title: Kerberos authentication overview in Windows Server publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview accessed: "2026-11-03" - "n": 4 title: NIST Internet Time Service (ITS) publisher: NIST url: https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its published: "2010-02-10" accessed: "2026-11-03" - "n": 5 title: How the Windows Time Service Works publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works accessed: "2026-11-03" - "n": 6 title: Configure NTP on a compute instance publisher: Google url: https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp accessed: "2026-11-03" --- # La sincronizzazione oraria sicura In un'azienda i computer e i server si controllano di continuo a vicenda: chi si collega, a che cosa e in quale momento. Una parte di questi controlli si basa sull'ora. Se due macchine non concordano sull'ora, alcune verifiche falliscono e il dipendente se ne accorge perché la connessione viene rifiutata o compare un errore che non sa spiegarsi. La sincronizzazione oraria consiste nel regolare tutti gli orologi su un'unica referenza, a intervalli regolari e senza intervento umano. Questa scheda spiega il principio, che cosa il dipendente può controllare da sé e alcuni errori di configurazione che riguardano soprattutto l'informatica. ## In 30 secondi - Dove succede: all'apertura della sessione, all'accesso a un servizio interno, o davanti a un messaggio di errore di connessione senza causa evidente. - Cosa succede: l'autenticazione Kerberos tollera per impostazione predefinita uno scarto di 5 minuti tra due orologi [1]. - Il riflesso: Il riflesso: lasciare data e ora in impostazione automatica e segnalare all'informatica ogni errore di connessione o di certificato inspiegato, invece di aggirarlo. - Se è già successo: se l'ora del computer è stata impostata a mano, tornare all'impostazione automatica e avvisare l'informatica. ## Domande dirette ### Perché l'ora conta per collegarsi? Il protocollo Kerberos, usato nelle reti Windows aziendali, impiega marche temporali per impedire gli attacchi di replay, cioè il riutilizzo di una credenziale di autenticazione da parte di un programma o di un utente malevolo [1]. Perché queste marche temporali servano a qualcosa, l'orologio del computer e quello del controller di dominio devono essere il più possibile vicini [1]. Microsoft scrive che il servizio ora di Windows «is essential to the successful operation of Kerberos V5 authentication» e quindi all'autenticazione basata su Active Directory [2]. ### Quale scarto è tollerato? Un parametro chiamato «Maximum tolerance for computer clock synchronization» fissa lo scarto massimo che Kerberos accetta tra l'orologio del client e quello del controller di dominio [1]. Il valore predefinito è di 5 minuti e Microsoft consiglia di mantenerlo [1]. Se lo scarto resta sotto questo limite, la marca temporale è considerata autentica [1]. ### Che cos'è NTP? NTP (Network Time Protocol) è il protocollo che permette a un computer di interrogare un server dell'ora per correggere il proprio orologio. Il servizio ora di Windows lo usa per sincronizzare gli orologi di una rete [2]. Windows, MacOS e Linux offrono tutti una sincronizzazione automatica tramite NTP, che in genere parte con il sistema e lavora in background [4]. ### Devo impostare l'ora da solo? No. Il NIST, l'ente statunitense che fornisce un servizio pubblico dell'ora via Internet, indica che la sincronizzazione automatica in genere non richiede alcun intervento e che regolare l'orologio a mano «generally not necessary» [4]. ### Cosa fare davanti a un errore di connessione inspiegato? Verificare che data e ora del computer siano in automatico, poi scrivere all'informatica descrivendo l'errore. ## Come funziona Un computer riceve campioni di tempo da uno o più server NTP. Il servizio ora di Windows sceglie il campione migliore grazie agli algoritmi definiti da NTP, poi regola l'orologio locale, o modificandone il ritmo o cambiandolo direttamente se lo scarto è troppo grande [5]. In un dominio Active Directory la catena è gerarchica. I computer membri di un dominio si sincronizzano per impostazione predefinita con un controller di dominio. Il controller che svolge il ruolo di emulatore PDC alla radice della foresta è in genere impostato su una fonte esterna [2][5]. Le fonti più precise sono in cima alla catena e la precisione può calare man mano che ci si allontana dalla referenza [5]. Microsoft indica che con Windows Server 2016 e Windows 10 Anniversary Update, in condizioni ragionevoli, un membro del dominio può restare entro 1 millisecondo, o meglio, dall'ora UTC [2]. Kerberos funziona con tre attori: il client, il servizio richiesto e un centro di distribuzione delle chiavi (KDC) di cui entrambi si fidano [3]. All'apertura della sessione il client ottiene un ticket iniziale (TGT), poi chiede al KDC un ticket per ogni servizio a cui vuole accedere [3]. ## Cosa fa Lei - Lasci data e ora in impostazione automatica. Il NIST indica che Windows, MacOS e Linux dispongono di questa opzione [4]. - Su Windows, un clic con il tasto destro sull'orologio della barra delle applicazioni dà accesso al pulsante «sync now», che contatta un server dell'ora e corregge l'orologio se necessario [4]. Su Mac, l'impostazione si trova in Applicazioni, Preferenze di Sistema, Data e ora [4]. - Non corregga un'ora sbagliata digitandola a mano su un computer gestito dall'azienda: la regolazione manuale in genere non è necessaria [4]. Un orologio che va comunque alla deriva è un segnale da trasmettere all'informatica. - Se una connessione o l'accesso a un servizio fallisce senza motivo chiaro, o se compare un avviso di certificato, non lo aggiri. Annoti il messaggio, l'ora e il servizio interessato, poi lo segnali all'informatica. ## Le insidie ### Un server dell'ora non autenticato Le richieste di tempo al servizio pubblico del NIST, nei formati DAYTIME, TIME e NTP, in genere non gestiscono l'autenticazione [4]. Il NIST propone inoltre messaggi NTP autenticati con una chiave simmetrica, forniti da server distinti: l'autenticazione garantisce che il messaggio provenga da un server del NIST e non sia stato modificato lungo il percorso [4]. In una foresta Active Directory, Microsoft descrive un'autenticazione dei pacchetti NTP basata sulla chiave di sessione Kerberos del computer. Un pacchetto non firmato o firmato male viene rifiutato [5]. Se invece un client è impostato a mano su un server NTP esterno alla propria gerarchia di dominio, i pacchetti non sono autenticati e quindi non sono sicuri, anche quando esistono relazioni di trust tra foreste [5]. ### Un computer fuori dominio o raramente connesso I computer non aggiunti a un dominio, o che si sincronizzano di rado, sono impostati per impostazione predefinita su time.windows.com [5]. Microsoft precisa che è impossibile garantire la precisione dell'ora su macchine la cui connessione di rete è intermittente o assente [5]. ### Fonti dell'ora mescolate Google raccomanda di configurare le macchine virtuali di Compute Engine con un solo server NTP, il server interno di Google [6]. Mescolare questo servizio con un servizio esterno può provocare cambi d'ora imprevedibili [6]. I servizi esterni come pool.ntp.org gestiscono spesso il secondo intercalare con un salto, e le macchine possono allora vedere marche temporali ripetute [6]. Per verificare la configurazione su Linux con chrony, la documentazione indica il comando `chronyc sources`, che deve mostrare una sola fonte [6]. ### Il secondo intercalare Un secondo intercalare è una correzione di un secondo dell'ora UTC [6]. A seconda dei sistemi, viene gestito ripetendo un secondo o distribuendolo su un periodo più lungo, e i messaggi NTP non dicono quale metodo abbia scelto un server [4]. Il NIST osserva che in tal caso è difficile combinare i dati di fonti diverse attorno all'evento [4]. ## Fonti 1. Microsoft, «Maximum tolerance for computer clock synchronization». https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (consultato il 3 novembre 2026) 2. Microsoft, «Windows Time Service (W32Time)». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (consultato il 3 novembre 2026) 3. Microsoft, «Kerberos authentication overview in Windows Server». https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (consultato il 3 novembre 2026) 4. NIST, «NIST Internet Time Service (ITS)», 10 febbraio 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (consultato il 3 novembre 2026) 5. Microsoft, «How the Windows Time Service Works». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (consultato il 3 novembre 2026) 6. Google, «Configure NTP on a compute instance». https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.