Beveiligde tijdsynchronisatie

Een computer ontvangt tijdmonsters van een of meer NTP-servers. De Windows-tijdservice kiest het beste monster met de algoritmen die NTP definieert en stelt dan de lokale klok bij, door het tempo aan te passen of, als het verschil te groot is, door de klok direct te wijzigen⁵.

In een Active Directory-domein is de keten hiërarchisch. Computers die lid zijn van een domein synchroniseren standaard met een domeincontroller. De controller met de rol van PDC-emulator aan de wortel van het forest is meestal op een externe bron ingesteld²⁵. De nauwkeurigste bronnen staan bovenaan de keten en de nauwkeurigheid kan afnemen naarmate men verder van de referentie af zit⁵.

Microsoft geeft aan dat met Windows Server 2016 en de Windows 10 Anniversary Update een domeinlid onder redelijke omstandigheden binnen 1 milliseconde of beter van UTC kan blijven².

Kerberos werkt met drie partijen: de client, de beoogde dienst en een key distribution center (KDC) dat beide vertrouwen³. Bij het aanmelden krijgt de client een eerste ticket (TGT) en vraagt daarna het KDC om een ticket voor elke dienst waartoe hij toegang wil³.

• Laat datum en tijd op automatisch staan. Het NIST geeft aan dat Windows, MacOS en Linux deze optie hebben⁴.
• Onder Windows geeft een rechtsklik op de klok in de taakbalk toegang tot de knop "sync now", die contact opneemt met een tijdserver en de klok indien nodig corrigeert⁴. Op een Mac staat de instelling in Applications, Systeemvoorkeuren, Datum en tijd⁴.
• Corrigeer een verkeerde tijd niet door die met de hand in te voeren op een computer die door het bedrijf wordt beheerd: handmatig instellen is meestal niet nodig⁴. Een klok die toch afwijkt, is een signaal dat u aan de IT-afdeling doorgeeft.
• Mislukt een aanmelding of toegang tot een dienst zonder duidelijke reden, of verschijnt er een certificaatwaarschuwing, ga er dan niet omheen. Noteer de melding, het tijdstip en de betrokken dienst en meld het aan de IT-afdeling.

Een niet-geauthenticeerde tijdserver

Tijdverzoeken aan de openbare service van het NIST, in de formaten DAYTIME, TIME en NTP, ondersteunen meestal geen authenticatie⁴. Daarnaast biedt het NIST NTP-berichten aan die met een symmetrische sleutel zijn geauthenticeerd en door aparte servers worden geleverd: de authenticatie garandeert dat het bericht van een NIST-server komt en onderweg niet is gewijzigd⁴.

In een Active Directory-forest beschrijft Microsoft een authenticatie van NTP-pakketten op basis van de Kerberos-sessiesleutel van de computer. Een niet-ondertekend of verkeerd ondertekend pakket wordt geweigerd⁵. Is een client daarentegen met de hand ingesteld op een NTP-server buiten zijn domeinhiërarchie, dan zijn de pakketten niet geauthenticeerd en dus niet veilig, ook als er vertrouwensrelaties tussen forests bestaan⁵.

Een computer buiten het domein of zelden verbonden

Computers die niet aan een domein zijn gekoppeld, of die zelden synchroniseren, zijn standaard ingesteld op time.windows.com⁵. Microsoft geeft aan dat de nauwkeurigheid van de tijd niet te garanderen is op machines met een onderbroken of ontbrekende netwerkverbinding⁵.

Gemengde tijdbronnen

Google adviseert virtuele machines van Compute Engine met één NTP-server te configureren, de interne server van Google⁶. Deze service combineren met een externe kan onvoorspelbare tijdwijzigingen veroorzaken⁶. Externe services zoals pool.ntp.org verwerken de schrikkelseconde vaak met een sprong, waardoor machines herhaalde tijdstempels kunnen zien⁶. Om de configuratie onder Linux met chrony te controleren, noemt de documentatie de opdracht chronyc sources, die één enkele bron moet tonen⁶.

De schrikkelseconde

Een schrikkelseconde is een aanpassing van één seconde van de UTC-tijd⁶. Afhankelijk van het systeem wordt ze verwerkt door een seconde te herhalen of door haar over een langere periode uit te smeren, en NTP-berichten vermelden niet welke methode een server heeft gekozen⁴. Het NIST merkt op dat het dan moeilijk is om gegevens van verschillende bronnen rond die gebeurtenis te combineren⁴.