La sincronizzazione oraria sicura

Un computer riceve campioni di tempo da uno o più server NTP. Il servizio ora di Windows sceglie il campione migliore grazie agli algoritmi definiti da NTP, poi regola l'orologio locale, o modificandone il ritmo o cambiandolo direttamente se lo scarto è troppo grande⁵.

In un dominio Active Directory la catena è gerarchica. I computer membri di un dominio si sincronizzano per impostazione predefinita con un controller di dominio. Il controller che svolge il ruolo di emulatore PDC alla radice della foresta è in genere impostato su una fonte esterna²⁵. Le fonti più precise sono in cima alla catena e la precisione può calare man mano che ci si allontana dalla referenza⁵.

Microsoft indica che con Windows Server 2016 e Windows 10 Anniversary Update, in condizioni ragionevoli, un membro del dominio può restare entro 1 millisecondo, o meglio, dall'ora UTC².

Kerberos funziona con tre attori: il client, il servizio richiesto e un centro di distribuzione delle chiavi (KDC) di cui entrambi si fidano³. All'apertura della sessione il client ottiene un ticket iniziale (TGT), poi chiede al KDC un ticket per ogni servizio a cui vuole accedere³.

• Lasci data e ora in impostazione automatica. Il NIST indica che Windows, MacOS e Linux dispongono di questa opzione⁴.
• Su Windows, un clic con il tasto destro sull'orologio della barra delle applicazioni dà accesso al pulsante «sync now», che contatta un server dell'ora e corregge l'orologio se necessario⁴. Su Mac, l'impostazione si trova in Applicazioni, Preferenze di Sistema, Data e ora⁴.
• Non corregga un'ora sbagliata digitandola a mano su un computer gestito dall'azienda: la regolazione manuale in genere non è necessaria⁴. Un orologio che va comunque alla deriva è un segnale da trasmettere all'informatica.
• Se una connessione o l'accesso a un servizio fallisce senza motivo chiaro, o se compare un avviso di certificato, non lo aggiri. Annoti il messaggio, l'ora e il servizio interessato, poi lo segnali all'informatica.

Un server dell'ora non autenticato

Le richieste di tempo al servizio pubblico del NIST, nei formati DAYTIME, TIME e NTP, in genere non gestiscono l'autenticazione⁴. Il NIST propone inoltre messaggi NTP autenticati con una chiave simmetrica, forniti da server distinti: l'autenticazione garantisce che il messaggio provenga da un server del NIST e non sia stato modificato lungo il percorso⁴.

In una foresta Active Directory, Microsoft descrive un'autenticazione dei pacchetti NTP basata sulla chiave di sessione Kerberos del computer. Un pacchetto non firmato o firmato male viene rifiutato⁵. Se invece un client è impostato a mano su un server NTP esterno alla propria gerarchia di dominio, i pacchetti non sono autenticati e quindi non sono sicuri, anche quando esistono relazioni di trust tra foreste⁵.

Un computer fuori dominio o raramente connesso

I computer non aggiunti a un dominio, o che si sincronizzano di rado, sono impostati per impostazione predefinita su time.windows.com⁵. Microsoft precisa che è impossibile garantire la precisione dell'ora su macchine la cui connessione di rete è intermittente o assente⁵.

Fonti dell'ora mescolate

Google raccomanda di configurare le macchine virtuali di Compute Engine con un solo server NTP, il server interno di Google⁶. Mescolare questo servizio con un servizio esterno può provocare cambi d'ora imprevedibili⁶. I servizi esterni come pool.ntp.org gestiscono spesso il secondo intercalare con un salto, e le macchine possono allora vedere marche temporali ripetute⁶. Per verificare la configurazione su Linux con chrony, la documentazione indica il comando chronyc sources, che deve mostrare una sola fonte⁶.

Il secondo intercalare

Un secondo intercalare è una correzione di un secondo dell'ora UTC⁶. A seconda dei sistemi, viene gestito ripetendo un secondo o distribuendolo su un periodo più lungo, e i messaggi NTP non dicono quale metodo abbia scelto un server⁴. Il NIST osserva che in tal caso è difficile combinare i dati di fonti diverse attorno all'evento⁴.