Bezpieczna synchronizacja czasu

Komputer otrzymuje próbki czasu z jednego lub kilku serwerów NTP. Usługa czasu systemu Windows wybiera najlepszą próbkę za pomocą algorytmów zdefiniowanych przez NTP, a potem ustawia zegar lokalny, albo zmieniając jego tempo, albo przestawiając go bezpośrednio, gdy różnica jest zbyt duża⁵.

W domenie Active Directory łańcuch ma charakter hierarchiczny. Komputery należące do domeny domyślnie synchronizują się z kontrolerem domeny. Kontroler pełniący rolę emulatora PDC w korzeniu lasu jest zwykle ustawiony na źródło zewnętrzne²⁵. Najdokładniejsze źródła znajdują się na szczycie łańcucha, a dokładność może spadać w miarę oddalania się od wzorca⁵.

Microsoft podaje, że w systemach Windows Server 2016 i Windows 10 Anniversary Update, w rozsądnych warunkach, członek domeny może utrzymać czas w granicach 1 milisekundy lub lepiej od czasu UTC².

Kerberos działa z udziałem trzech stron: klienta, usługi docelowej i centrum dystrybucji kluczy (KDC), któremu ufają obie³. Przy logowaniu klient uzyskuje bilet początkowy (TGT), a następnie prosi KDC o bilet do każdej usługi, do której chce uzyskać dostęp³.

• Proszę zostawić automatyczne ustawianie daty i godziny. NIST wskazuje, że Windows, MacOS i Linux mają tę opcję⁴.
• W systemie Windows kliknięcie zegara na pasku zadań prawym przyciskiem myszy daje dostęp do przycisku "sync now", który łączy się z serwerem czasu i w razie potrzeby koryguje zegar⁴. Na Macu ustawienie znajduje się w Applications, Preferencje systemowe, Data i godzina⁴.
• Proszę nie poprawiać błędnej godziny, wpisując ją ręcznie na komputerze zarządzanym przez firmę: ręczne ustawianie zwykle nie jest potrzebne⁴. Zegar, który mimo to się rozjeżdża, jest sygnałem, który należy przekazać działowi IT.
• Jeśli logowanie lub dostęp do usługi kończy się niepowodzeniem bez wyraźnej przyczyny albo pojawia się ostrzeżenie o certyfikacie, proszę go nie obchodzić. Należy zanotować komunikat, godzinę i daną usługę, a następnie zgłosić to do działu IT.

Nieuwierzytelniony serwer czasu

Zapytania o czas do publicznej usługi NIST, w formatach DAYTIME, TIME i NTP, zwykle nie obsługują uwierzytelniania⁴. NIST oferuje ponadto komunikaty NTP uwierzytelniane kluczem symetrycznym, udostępniane przez osobne serwery: uwierzytelnienie gwarantuje, że komunikat pochodzi z serwera NIST i nie został zmieniony po drodze⁴.

W lesie Active Directory Microsoft opisuje uwierzytelnianie pakietów NTP oparte na kluczu sesji Kerberos komputera. Pakiet niepodpisany lub podpisany nieprawidłowo jest odrzucany⁵. Jeśli jednak klient zostanie ustawiony ręcznie na serwer NTP spoza swojej hierarchii domeny, pakiety nie są uwierzytelniane, a więc nie są bezpieczne, także wtedy, gdy istnieją relacje zaufania między lasami⁵.

Komputer spoza domeny lub rzadko połączony

Komputery, które nie należą do domeny albo synchronizują się rzadko, są domyślnie ustawione na time.windows.com⁵. Microsoft zaznacza, że nie można zagwarantować dokładności czasu na maszynach, których połączenie z siecią jest przerywane lub nie istnieje⁵.

Pomieszane źródła czasu

Google zaleca konfigurowanie maszyn wirtualnych Compute Engine z jednym serwerem NTP, wewnętrznym serwerem Google⁶. Mieszanie tej usługi z usługą zewnętrzną może powodować nieprzewidywalne zmiany czasu⁶. Usługi zewnętrzne, takie jak pool.ntp.org, często obsługują sekundę przestępną przez skok, a maszyny mogą wtedy widzieć powtórzone znaczniki czasu⁶. Aby sprawdzić konfigurację w Linuksie z chrony, dokumentacja podaje polecenie chronyc sources, które powinno pokazać jedno źródło⁶.

Sekunda przestępna

Sekunda przestępna to jednosekundowa korekta czasu UTC⁶. W zależności od systemu jest obsługiwana przez powtórzenie jednej sekundy albo rozłożenie jej na dłuższy okres, a komunikaty NTP nie mówią, którą metodę wybrał serwer⁴. NIST zauważa, że trudno wtedy łączyć dane z różnych źródeł w okolicy tego zdarzenia⁴.