A sincronização horária segura
Porque é que os computadores de uma empresa têm de partilhar a mesma hora, o que faz o colaborador e as armadilhas de um servidor de tempo mal configurado.
Em 30 segundos
- Onde acontece
- Ao iniciar sessão, ao aceder a um serviço interno, ou perante uma mensagem de erro de ligação sem causa evidente.
- O que acontece
- Por predefinição, a autenticação Kerberos tolera uma diferença de 5 minutos entre dois relógios1.
- O reflexo
- Deixar a data e a hora em ajuste automático e comunicar à informática qualquer erro de ligação ou de certificado sem explicação, em vez de o contornar.
- Se já o fez
- Se a hora do posto foi acertada à mão, volte a pô-la em automático e avise a informática.
Do que se trata
Numa empresa, os computadores e os servidores verificam-se uns aos outros em permanência: quem se liga, a quê e em que momento. Parte destas verificações depende da hora. Se duas máquinas não estiverem de acordo quanto à hora, algumas verificações falham, e o colaborador apercebe-se disso através de uma ligação recusada ou de um erro que não consegue explicar.
A sincronização horária consiste em acertar todos os relógios por uma mesma referência, a intervalos regulares e sem intervenção humana. Esta ficha explica o princípio, o que o colaborador pode verificar por si e alguns erros de configuração que dizem sobretudo respeito ao departamento de informática.
Perguntas diretas
Porque é que a hora conta para iniciar sessão?
O protocolo Kerberos, usado nas redes Windows das empresas, emprega marcas temporais para impedir ataques de repetição, isto é, a reutilização de uma credencial de autenticação por um programa ou um utilizador malicioso1. Para que essas marcas temporais sirvam de alguma coisa, o relógio do posto e o do controlador de domínio têm de estar o mais próximos possível1. A Microsoft escreve que o serviço de tempo do Windows "is essential to the successful operation of Kerberos V5 authentication" e, portanto, da autenticação baseada no Active Directory2.
Que diferença é tolerada?
Um parâmetro chamado "Maximum tolerance for computer clock synchronization" define a diferença máxima que o Kerberos aceita entre o relógio do cliente e o do controlador de domínio1. O valor predefinido é de 5 minutos, e a Microsoft aconselha a mantê-lo1. Se a diferença ficar abaixo deste limite, a marca temporal é considerada autêntica1.
O que é o NTP?
O NTP (Network Time Protocol) é o protocolo que permite a um computador consultar um servidor de tempo para corrigir o seu relógio. O serviço de tempo do Windows utiliza-o para sincronizar os relógios de uma rede2. O Windows, o MacOS e o Linux oferecem todos uma sincronização automática por NTP, que em geral arranca com o sistema e funciona em segundo plano4.
Devo acertar a hora eu mesmo?
Não. O NIST, o organismo norte-americano que presta um serviço público de hora pela Internet, indica que a sincronização automática não exige, em geral, qualquer intervenção, e que acertar o relógio à mão "generally not necessary"4.
O que fazer perante um erro de ligação sem explicação?
Verificar se a data e a hora do posto estão em automático e depois escrever à informática, descrevendo o erro.
1Como funciona1 min
Um computador recebe amostras de tempo de um ou mais servidores NTP. O serviço de tempo do Windows escolhe a melhor amostra graças aos algoritmos definidos pelo NTP e depois acerta o relógio local, quer ajustando o seu ritmo, quer alterando-o diretamente se a diferença for demasiado grande5.
Num domínio Active Directory, a cadeia é hierárquica. Os postos membros de um domínio sincronizam-se por predefinição com um controlador de domínio. O controlador que desempenha a função de emulador PDC na raiz da floresta está, em geral, acertado por uma fonte externa25. As fontes mais precisas estão no topo da cadeia, e a precisão pode diminuir à medida que nos afastamos da referência5.
A Microsoft indica que, com o Windows Server 2016 e o Windows 10 Anniversary Update, em condições razoáveis, um membro do domínio pode manter-se a 1 milissegundo ou menos da hora UTC2.
O Kerberos funciona com três intervenientes: o cliente, o serviço visado e um centro de distribuição de chaves (KDC) em que ambos confiam3. Ao iniciar sessão, o cliente obtém um bilhete inicial (TGT) e depois pede ao KDC um bilhete para cada serviço a que quer aceder3.
2O que faz1 min
- Deixe a data e a hora em ajuste automático. O NIST indica que o Windows, o MacOS e o Linux dispõem desta opção4.
- No Windows, um clique com o botão direito no relógio da barra de tarefas dá acesso ao botão "sync now", que contacta um servidor de tempo e corrige o relógio, se necessário4. No Mac, o ajuste encontra-se em Aplicações, Preferências do Sistema, Data e Hora4.
- Não corrija uma hora errada introduzindo-a à mão num posto gerido pela empresa: o ajuste manual em geral não é necessário4. Um relógio que, ainda assim, se desvia é um sinal a transmitir à informática.
- Se uma ligação ou o acesso a um serviço falhar sem motivo claro, ou se aparecer um aviso de certificado, não o contorne. Anote a mensagem, a hora e o serviço em causa e comunique-os à informática.
3As armadilhas2 min
Um servidor de tempo não autenticado
Os pedidos de tempo ao serviço público do NIST, nos formatos DAYTIME, TIME e NTP, em geral não suportam autenticação4. O NIST propõe ainda mensagens NTP autenticadas por uma chave simétrica, fornecidas por servidores distintos: a autenticação garante que a mensagem vem de um servidor do NIST e não foi alterada pelo caminho4.
Numa floresta Active Directory, a Microsoft descreve uma autenticação dos pacotes NTP baseada na chave de sessão Kerberos do computador. Um pacote não assinado ou mal assinado é rejeitado5. Em contrapartida, se um cliente estiver acertado à mão por um servidor NTP fora da sua hierarquia de domínio, os pacotes não são autenticados e, por isso, não são seguros, mesmo quando existem relações de confiança entre florestas5.
Um posto fora do domínio ou raramente ligado
Os computadores que não estão associados a um domínio, ou que se sincronizam pouco, ficam por predefinição acertados por time.windows.com5. A Microsoft especifica que é impossível garantir a precisão da hora em máquinas cuja ligação à rede é intermitente ou inexistente5.
Fontes de tempo misturadas
A Google recomenda configurar as máquinas virtuais do Compute Engine com um único servidor NTP, o servidor interno da Google6. Misturar este serviço com um serviço externo pode provocar mudanças de hora imprevisíveis6. Os serviços externos como pool.ntp.org tratam muitas vezes o segundo bissexto por um salto, e as máquinas podem então ver marcas temporais repetidas6. Para verificar a configuração no Linux com o chrony, a documentação indica o comando chronyc sources, que deve mostrar uma única fonte6.
O segundo bissexto
Um segundo bissexto é um ajuste de um segundo da hora UTC6. Consoante os sistemas, é tratado repetindo um segundo ou distribuindo-o por um período mais longo, e as mensagens NTP não dizem que método um servidor adotou4. O NIST observa que é então difícil combinar dados de fontes diferentes em torno do acontecimento4.
Ficha
- Identificador
- CP-492
- Ala
- 3. Protocolos e defesa
- Competência Brain
- Perceber o ciberespaço (understand_cyberspace)
- Reflexo Brain
- cr-060
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 6 fontes verificadas em 3 de novembro de 2026
Fontes6 fontes
- Microsoft, «Maximum tolerance for computer clock synchronization». https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (consultado em 3 de novembro de 2026)
- Microsoft, «Windows Time Service (W32Time)». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (consultado em 3 de novembro de 2026)
- Microsoft, «Kerberos authentication overview in Windows Server». https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (consultado em 3 de novembro de 2026)
- NIST, «NIST Internet Time Service (ITS)», 10 de fevereiro de 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (consultado em 3 de novembro de 2026)
- Microsoft, «How the Windows Time Service Works». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (consultado em 3 de novembro de 2026)
- Google, «Configure NTP on a compute instance». https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «A sincronização horária segura», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp492_pt_2026,
author = {Brain},
title = {A sincronização horária segura},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/sincronizacao-horaria-ntp-segura/},
note = {CC BY 4.0}
}