--- id: CP-492 slug: sincronizacao-horaria-ntp-segura lang: pt title: A sincronização horária segura description: Porque é que os computadores de uma empresa têm de partilhar a mesma hora, o que faz o colaborador e as armadilhas de um servidor de tempo mal configurado. canonical_url: https://startbrain.io/cyberpedia/pt/articles/sincronizacao-horaria-ntp-segura/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/sincronizacao-horaria-ntp-segura.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «A sincronização horária segura», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/sincronizacao-horaria-ntp-segura/ (CC BY 4.0) wing: 3 theme: understand_cyberspace reflex: cr-060 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/sincronizacao-horaria-ntp-segura/ fr: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ en: https://startbrain.io/cyberpedia/en/articles/secure-ntp-time-synchronization/ de: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ es: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ it: https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura/ nl: https://startbrain.io/cyberpedia/nl/articles/veilige-tijdsynchronisatie-ntp/ sources: - "n": 1 title: Maximum tolerance for computer clock synchronization publisher: Microsoft url: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) accessed: "2026-11-03" - "n": 2 title: Windows Time Service (W32Time) publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top accessed: "2026-11-03" - "n": 3 title: Kerberos authentication overview in Windows Server publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview accessed: "2026-11-03" - "n": 4 title: NIST Internet Time Service (ITS) publisher: NIST url: https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its published: "2010-02-10" accessed: "2026-11-03" - "n": 5 title: How the Windows Time Service Works publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works accessed: "2026-11-03" - "n": 6 title: Configure NTP on a compute instance publisher: Google url: https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp accessed: "2026-11-03" --- # A sincronização horária segura Numa empresa, os computadores e os servidores verificam-se uns aos outros em permanência: quem se liga, a quê e em que momento. Parte destas verificações depende da hora. Se duas máquinas não estiverem de acordo quanto à hora, algumas verificações falham, e o colaborador apercebe-se disso através de uma ligação recusada ou de um erro que não consegue explicar. A sincronização horária consiste em acertar todos os relógios por uma mesma referência, a intervalos regulares e sem intervenção humana. Esta ficha explica o princípio, o que o colaborador pode verificar por si e alguns erros de configuração que dizem sobretudo respeito ao departamento de informática. ## Em 30 segundos - Onde acontece: ao iniciar sessão, ao aceder a um serviço interno, ou perante uma mensagem de erro de ligação sem causa evidente. - O que acontece: por predefinição, a autenticação Kerberos tolera uma diferença de 5 minutos entre dois relógios [1]. - O reflexo: deixar a data e a hora em ajuste automático e comunicar à informática qualquer erro de ligação ou de certificado sem explicação, em vez de o contornar. - Se já o fez: se a hora do posto foi acertada à mão, volte a pô-la em automático e avise a informática. ## Perguntas diretas ### Porque é que a hora conta para iniciar sessão? O protocolo Kerberos, usado nas redes Windows das empresas, emprega marcas temporais para impedir ataques de repetição, isto é, a reutilização de uma credencial de autenticação por um programa ou um utilizador malicioso [1]. Para que essas marcas temporais sirvam de alguma coisa, o relógio do posto e o do controlador de domínio têm de estar o mais próximos possível [1]. A Microsoft escreve que o serviço de tempo do Windows "is essential to the successful operation of Kerberos V5 authentication" e, portanto, da autenticação baseada no Active Directory [2]. ### Que diferença é tolerada? Um parâmetro chamado "Maximum tolerance for computer clock synchronization" define a diferença máxima que o Kerberos aceita entre o relógio do cliente e o do controlador de domínio [1]. O valor predefinido é de 5 minutos, e a Microsoft aconselha a mantê-lo [1]. Se a diferença ficar abaixo deste limite, a marca temporal é considerada autêntica [1]. ### O que é o NTP? O NTP (Network Time Protocol) é o protocolo que permite a um computador consultar um servidor de tempo para corrigir o seu relógio. O serviço de tempo do Windows utiliza-o para sincronizar os relógios de uma rede [2]. O Windows, o MacOS e o Linux oferecem todos uma sincronização automática por NTP, que em geral arranca com o sistema e funciona em segundo plano [4]. ### Devo acertar a hora eu mesmo? Não. O NIST, o organismo norte-americano que presta um serviço público de hora pela Internet, indica que a sincronização automática não exige, em geral, qualquer intervenção, e que acertar o relógio à mão "generally not necessary" [4]. ### O que fazer perante um erro de ligação sem explicação? Verificar se a data e a hora do posto estão em automático e depois escrever à informática, descrevendo o erro. ## Como funciona Um computador recebe amostras de tempo de um ou mais servidores NTP. O serviço de tempo do Windows escolhe a melhor amostra graças aos algoritmos definidos pelo NTP e depois acerta o relógio local, quer ajustando o seu ritmo, quer alterando-o diretamente se a diferença for demasiado grande [5]. Num domínio Active Directory, a cadeia é hierárquica. Os postos membros de um domínio sincronizam-se por predefinição com um controlador de domínio. O controlador que desempenha a função de emulador PDC na raiz da floresta está, em geral, acertado por uma fonte externa [2][5]. As fontes mais precisas estão no topo da cadeia, e a precisão pode diminuir à medida que nos afastamos da referência [5]. A Microsoft indica que, com o Windows Server 2016 e o Windows 10 Anniversary Update, em condições razoáveis, um membro do domínio pode manter-se a 1 milissegundo ou menos da hora UTC [2]. O Kerberos funciona com três intervenientes: o cliente, o serviço visado e um centro de distribuição de chaves (KDC) em que ambos confiam [3]. Ao iniciar sessão, o cliente obtém um bilhete inicial (TGT) e depois pede ao KDC um bilhete para cada serviço a que quer aceder [3]. ## O que faz - Deixe a data e a hora em ajuste automático. O NIST indica que o Windows, o MacOS e o Linux dispõem desta opção [4]. - No Windows, um clique com o botão direito no relógio da barra de tarefas dá acesso ao botão "sync now", que contacta um servidor de tempo e corrige o relógio, se necessário [4]. No Mac, o ajuste encontra-se em Aplicações, Preferências do Sistema, Data e Hora [4]. - Não corrija uma hora errada introduzindo-a à mão num posto gerido pela empresa: o ajuste manual em geral não é necessário [4]. Um relógio que, ainda assim, se desvia é um sinal a transmitir à informática. - Se uma ligação ou o acesso a um serviço falhar sem motivo claro, ou se aparecer um aviso de certificado, não o contorne. Anote a mensagem, a hora e o serviço em causa e comunique-os à informática. ## As armadilhas ### Um servidor de tempo não autenticado Os pedidos de tempo ao serviço público do NIST, nos formatos DAYTIME, TIME e NTP, em geral não suportam autenticação [4]. O NIST propõe ainda mensagens NTP autenticadas por uma chave simétrica, fornecidas por servidores distintos: a autenticação garante que a mensagem vem de um servidor do NIST e não foi alterada pelo caminho [4]. Numa floresta Active Directory, a Microsoft descreve uma autenticação dos pacotes NTP baseada na chave de sessão Kerberos do computador. Um pacote não assinado ou mal assinado é rejeitado [5]. Em contrapartida, se um cliente estiver acertado à mão por um servidor NTP fora da sua hierarquia de domínio, os pacotes não são autenticados e, por isso, não são seguros, mesmo quando existem relações de confiança entre florestas [5]. ### Um posto fora do domínio ou raramente ligado Os computadores que não estão associados a um domínio, ou que se sincronizam pouco, ficam por predefinição acertados por time.windows.com [5]. A Microsoft especifica que é impossível garantir a precisão da hora em máquinas cuja ligação à rede é intermitente ou inexistente [5]. ### Fontes de tempo misturadas A Google recomenda configurar as máquinas virtuais do Compute Engine com um único servidor NTP, o servidor interno da Google [6]. Misturar este serviço com um serviço externo pode provocar mudanças de hora imprevisíveis [6]. Os serviços externos como pool.ntp.org tratam muitas vezes o segundo bissexto por um salto, e as máquinas podem então ver marcas temporais repetidas [6]. Para verificar a configuração no Linux com o chrony, a documentação indica o comando `chronyc sources`, que deve mostrar uma única fonte [6]. ### O segundo bissexto Um segundo bissexto é um ajuste de um segundo da hora UTC [6]. Consoante os sistemas, é tratado repetindo um segundo ou distribuindo-o por um período mais longo, e as mensagens NTP não dizem que método um servidor adotou [4]. O NIST observa que é então difícil combinar dados de fontes diferentes em torno do acontecimento [4]. ## Fontes 1. Microsoft, «Maximum tolerance for computer clock synchronization». https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (consultado em 3 de novembro de 2026) 2. Microsoft, «Windows Time Service (W32Time)». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (consultado em 3 de novembro de 2026) 3. Microsoft, «Kerberos authentication overview in Windows Server». https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (consultado em 3 de novembro de 2026) 4. NIST, «NIST Internet Time Service (ITS)», 10 de fevereiro de 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (consultado em 3 de novembro de 2026) 5. Microsoft, «How the Windows Time Service Works». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (consultado em 3 de novembro de 2026) 6. Google, «Configure NTP on a compute instance». https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/sincronizacao-horaria-ntp-segura/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.