--- id: CP-492 slug: bezpieczna-synchronizacja-czasu-ntp lang: pl title: Bezpieczna synchronizacja czasu description: Dlaczego komputery w firmie muszą pokazywać ten sam czas, co robi pracownik i jakie pułapki kryje źle ustawiony serwer czasu. canonical_url: https://startbrain.io/cyberpedia/pl/articles/bezpieczna-synchronizacja-czasu-ntp/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/bezpieczna-synchronizacja-czasu-ntp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Bezpieczna synchronizacja czasu”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/bezpieczna-synchronizacja-czasu-ntp/ (CC BY 4.0) wing: 3 theme: understand_cyberspace reflex: cr-060 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/bezpieczna-synchronizacja-czasu-ntp/ fr: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ en: https://startbrain.io/cyberpedia/en/articles/secure-ntp-time-synchronization/ de: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ es: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ it: https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura/ nl: https://startbrain.io/cyberpedia/nl/articles/veilige-tijdsynchronisatie-ntp/ pt: https://startbrain.io/cyberpedia/pt/articles/sincronizacao-horaria-ntp-segura/ sources: - "n": 1 title: Maximum tolerance for computer clock synchronization publisher: Microsoft url: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) accessed: "2026-11-03" - "n": 2 title: Windows Time Service (W32Time) publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top accessed: "2026-11-03" - "n": 3 title: Kerberos authentication overview in Windows Server publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview accessed: "2026-11-03" - "n": 4 title: NIST Internet Time Service (ITS) publisher: NIST url: https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its published: "2010-02-10" accessed: "2026-11-03" - "n": 5 title: How the Windows Time Service Works publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works accessed: "2026-11-03" - "n": 6 title: Configure NTP on a compute instance publisher: Google url: https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp accessed: "2026-11-03" --- # Bezpieczna synchronizacja czasu W firmie komputery i serwery stale się nawzajem sprawdzają: kto się loguje, do czego i kiedy. Część tych kontroli opiera się na czasie. Jeśli dwie maszyny nie zgadzają się co do godziny, niektóre weryfikacje kończą się niepowodzeniem, a pracownik widzi to jako odmowę logowania albo błąd, którego nie potrafi wyjaśnić. Synchronizacja czasu polega na ustawianiu wszystkich zegarów według jednego wzorca, w regularnych odstępach i bez udziału człowieka. Ta strona wyjaśnia zasadę działania, co pracownik może sprawdzić samodzielnie oraz kilka błędów konfiguracji, które dotyczą głównie działu IT. ## W 30 sekund - Gdzie to się zdarza: przy logowaniu, przy dostępie do usługi wewnętrznej albo przy komunikacie o błędzie połączenia bez oczywistej przyczyny. - Co się dzieje: uwierzytelnianie Kerberos domyślnie toleruje różnicę 5 minut między dwoma zegarami [1]. - Odruch: zostawić automatyczne ustawianie daty i godziny, a każdy niewyjaśniony błąd połączenia lub certyfikatu zgłosić do działu IT zamiast go obchodzić. - Jeśli już się stało: jeśli godzina na komputerze została ustawiona ręcznie, przywrócić tryb automatyczny i powiadomić dział IT. ## Pytania wprost ### Dlaczego godzina ma znaczenie przy logowaniu? Protokół Kerberos, używany w firmowych sieciach Windows, wykorzystuje znaczniki czasu, aby zapobiegać atakom przez odtwarzanie, czyli ponownemu użyciu danych uwierzytelniających przez złośliwy program lub użytkownika [1]. Aby te znaczniki czasu miały sens, zegar komputera i zegar kontrolera domeny muszą być jak najbliższe sobie [1]. Microsoft pisze, że usługa czasu systemu Windows "is essential to the successful operation of Kerberos V5 authentication", a zatem także uwierzytelniania opartego na Active Directory [2]. ### Jaka różnica jest tolerowana? Ustawienie o nazwie "Maximum tolerance for computer clock synchronization" określa maksymalną różnicę, jaką Kerberos akceptuje między zegarem klienta a zegarem kontrolera domeny [1]. Jego wartość domyślna to 5 minut, a Microsoft zaleca ją zachować [1]. Jeśli różnica nie przekracza tego limitu, znacznik czasu uznaje się za autentyczny [1]. ### Czym jest NTP? NTP (Network Time Protocol) to protokół, który pozwala komputerowi zapytać serwer czasu i skorygować swój zegar. Usługa czasu systemu Windows używa go do synchronizacji zegarów w sieci [2]. Windows, MacOS i Linux oferują automatyczną synchronizację przez NTP, która zwykle uruchamia się razem z systemem i działa w tle [4]. ### Czy muszę sam ustawiać godzinę? Nie. NIST, amerykańska instytucja udostępniająca publiczną usługę czasu przez Internet, wskazuje, że automatyczna synchronizacja zwykle nie wymaga żadnej interwencji, a ręczne ustawianie zegara jest "generally not necessary" [4]. ### Co zrobić przy niewyjaśnionym błędzie połączenia? Sprawdzić, czy data i godzina na komputerze są ustawione automatycznie, a następnie napisać do działu IT, opisując błąd. ## Jak to działa Komputer otrzymuje próbki czasu z jednego lub kilku serwerów NTP. Usługa czasu systemu Windows wybiera najlepszą próbkę za pomocą algorytmów zdefiniowanych przez NTP, a potem ustawia zegar lokalny, albo zmieniając jego tempo, albo przestawiając go bezpośrednio, gdy różnica jest zbyt duża [5]. W domenie Active Directory łańcuch ma charakter hierarchiczny. Komputery należące do domeny domyślnie synchronizują się z kontrolerem domeny. Kontroler pełniący rolę emulatora PDC w korzeniu lasu jest zwykle ustawiony na źródło zewnętrzne [2][5]. Najdokładniejsze źródła znajdują się na szczycie łańcucha, a dokładność może spadać w miarę oddalania się od wzorca [5]. Microsoft podaje, że w systemach Windows Server 2016 i Windows 10 Anniversary Update, w rozsądnych warunkach, członek domeny może utrzymać czas w granicach 1 milisekundy lub lepiej od czasu UTC [2]. Kerberos działa z udziałem trzech stron: klienta, usługi docelowej i centrum dystrybucji kluczy (KDC), któremu ufają obie [3]. Przy logowaniu klient uzyskuje bilet początkowy (TGT), a następnie prosi KDC o bilet do każdej usługi, do której chce uzyskać dostęp [3]. ## Co Pan/Pani robi - Proszę zostawić automatyczne ustawianie daty i godziny. NIST wskazuje, że Windows, MacOS i Linux mają tę opcję [4]. - W systemie Windows kliknięcie zegara na pasku zadań prawym przyciskiem myszy daje dostęp do przycisku "sync now", który łączy się z serwerem czasu i w razie potrzeby koryguje zegar [4]. Na Macu ustawienie znajduje się w Applications, Preferencje systemowe, Data i godzina [4]. - Proszę nie poprawiać błędnej godziny, wpisując ją ręcznie na komputerze zarządzanym przez firmę: ręczne ustawianie zwykle nie jest potrzebne [4]. Zegar, który mimo to się rozjeżdża, jest sygnałem, który należy przekazać działowi IT. - Jeśli logowanie lub dostęp do usługi kończy się niepowodzeniem bez wyraźnej przyczyny albo pojawia się ostrzeżenie o certyfikacie, proszę go nie obchodzić. Należy zanotować komunikat, godzinę i daną usługę, a następnie zgłosić to do działu IT. ## Pułapki ### Nieuwierzytelniony serwer czasu Zapytania o czas do publicznej usługi NIST, w formatach DAYTIME, TIME i NTP, zwykle nie obsługują uwierzytelniania [4]. NIST oferuje ponadto komunikaty NTP uwierzytelniane kluczem symetrycznym, udostępniane przez osobne serwery: uwierzytelnienie gwarantuje, że komunikat pochodzi z serwera NIST i nie został zmieniony po drodze [4]. W lesie Active Directory Microsoft opisuje uwierzytelnianie pakietów NTP oparte na kluczu sesji Kerberos komputera. Pakiet niepodpisany lub podpisany nieprawidłowo jest odrzucany [5]. Jeśli jednak klient zostanie ustawiony ręcznie na serwer NTP spoza swojej hierarchii domeny, pakiety nie są uwierzytelniane, a więc nie są bezpieczne, także wtedy, gdy istnieją relacje zaufania między lasami [5]. ### Komputer spoza domeny lub rzadko połączony Komputery, które nie należą do domeny albo synchronizują się rzadko, są domyślnie ustawione na time.windows.com [5]. Microsoft zaznacza, że nie można zagwarantować dokładności czasu na maszynach, których połączenie z siecią jest przerywane lub nie istnieje [5]. ### Pomieszane źródła czasu Google zaleca konfigurowanie maszyn wirtualnych Compute Engine z jednym serwerem NTP, wewnętrznym serwerem Google [6]. Mieszanie tej usługi z usługą zewnętrzną może powodować nieprzewidywalne zmiany czasu [6]. Usługi zewnętrzne, takie jak pool.ntp.org, często obsługują sekundę przestępną przez skok, a maszyny mogą wtedy widzieć powtórzone znaczniki czasu [6]. Aby sprawdzić konfigurację w Linuksie z chrony, dokumentacja podaje polecenie `chronyc sources`, które powinno pokazać jedno źródło [6]. ### Sekunda przestępna Sekunda przestępna to jednosekundowa korekta czasu UTC [6]. W zależności od systemu jest obsługiwana przez powtórzenie jednej sekundy albo rozłożenie jej na dłuższy okres, a komunikaty NTP nie mówią, którą metodę wybrał serwer [4]. NIST zauważa, że trudno wtedy łączyć dane z różnych źródeł w okolicy tego zdarzenia [4]. ## Źródła 1. Microsoft, „Maximum tolerance for computer clock synchronization”. https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (dostęp 3 listopada 2026) 2. Microsoft, „Windows Time Service (W32Time)”. https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (dostęp 3 listopada 2026) 3. Microsoft, „Kerberos authentication overview in Windows Server”. https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (dostęp 3 listopada 2026) 4. NIST, „NIST Internet Time Service (ITS)”, 10 lutego 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (dostęp 3 listopada 2026) 5. Microsoft, „How the Windows Time Service Works”. https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (dostęp 3 listopada 2026) 6. Google, „Configure NTP on a compute instance”. https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/bezpieczna-synchronizacja-czasu-ntp/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.