ИТ Блог. Администрирование серверов на основе Linux (Ubuntu, Debian, CentOS, openSUSE)
Если время — деньги, то насколько важно обеспечить целостность самого времени? Время во многих вычислительных устройствах часто синхронизируется по протоколу сетевого времени (NTP), который не является безопасным подходом, но есть и другой вариант.
21 сентября Cloudflare объявила о том, что она развертывает новую аутентифицированную услугу времени под названием Roughtime, стремясь обеспечить определенные усилия по учету времени.. Публично доступная услуга основана на проекте с открытым исходным кодом с тем же именем, которое было запущено Google.
«NTP является доминирующим протоколом, используемым для временной синхронизации, и хотя последние версии предусматривают возможность аутентификации, на практике это не используется», — говорится в странице проекта Google для состояний Roughtime. «Большинство компьютеров доверяют неавторизованному ответу NTP для установки системных часов, что означает, что злоумышленник MITM [man-in-the-middle] может контролировать часы жертвы и, вероятно, нарушать свойства безопасности некоторых из перечисленных выше протоколов».
Roughtime — это протокол на основе UDP, который использует криптографическую защиту, чтобы поддерживать целостность и ограничивать риск атак MITM. Кроме того, протокол Roughtime включает в себя меры по защите его от использования в качестве усилителя для распределенных атак типа «отказ в обслуживании» (DDoS). По крайней мере, 2014 года, злоумышленники злоупотребляли незащищенностью NTP, чтобы отражать и усиливать атаки DDoS.
Cloudflare намерена использовать свою службу Roughtime, чтобы подтвердить правильность срока действия сертификатов SSL/TLS. Без возможности правильно проверять время злоумышленник мог обмануть пользователя или сервера, приняв сертификат, срок действия которого истек.
«Наши серверы Roughtime получают свое время от системных часов серверов Cloudflare, которые контролируются для обеспечения согласованности и точности», — сказал глава криптографии Cloudflare Ник Салливан.
Публично раскрывая услугу Roughtime, цель Cloudflare заключается в том, чтобы стимулировать интерес и возможное принятие протокола Roughtime, где это имеет смысл. Хотя Roughtime можно использовать для защиты времени в Интернете, это не обязательно прямая замена NTP по ряду причин.
«Протокол Roughtime не учитывает латентность (например, NTP), поэтому в зависимости от того, насколько далеко пользователь находится на сервере Roughtime, они могут отличаться на столько же, сколько секунд, — сказал Салливан.
Кроме того, Салливан сказал, что он не видит Roughtime в качестве замены для NTP, потому что у него нет всех механизмов для получения точности на микросекундах. Основной способ использования Roughtime — убедиться в том, что грубое правильное время может быть получено из набора полунадежных серверов аудиторским способом, сказал он.
Салливан сказал, что в более широком ИТ-сообществе также осуществляется работа над безопасными вариантами NTP, которые Cloudflare активно контролирует.
Развертывание Roughtime
Услуга Rubleime Cloudflare доступна бесплатно по адресу roughtime.cloudflare.com по порту 2002 для тех, кто хочет ее использовать. Для тех, кто хочет развернуть свои собственные службы Roughtime, Салливан сказал, что его довольно просто развертывать и не очень дорого стоить с точки зрения потребления ресурсов.
«Для каждой отметки времени требуется одна подпись эллиптической кривой, которая может быть рассчитана эффективно даже на более старом оборудовании», — сказал Салливан. «Тем не менее, основное преимущество Roughtime исходит от использования нескольких серверов под управлением независимых организаций».
Салливан добавил, что запуск службы Roughtime локально может помочь против злоумышленников на пути, но не защищает вас от компромиссов самого сервера времени.
Неделя криптографии
Запуск службы Roughtime является последним в серии анонсов Cloudflare, сделанных в течение недели, которые компания назвала Crypto Week.
17 сентября Cloudflare анонсировала шлюз межплатной файловой системы (IPFS), который дает пользователям возможность использовать одноранговую файловую систему IPFS для доставки распределенного контента. 18 сентября компания объявила о новых инструментах, позволяющих упростить использование и развертывание DNSSEC (расширений безопасности DNS). Новость последовала 19 сентября с помощью инфраструктуры RPKI (Resource Public Key Infrastructure), которая поможет защитить протокол BGP (протокол пограничных шлюзов). Затем 20 сентября компания объявила о сервисе Cloudflare Onion, чтобы помочь пользователям, которые хотят остаться анонимными в сети Tor.
«Миссия Cloudflare заключается в том, чтобы помочь создать лучший интернет, поэтому в любой данный момент существует дюжина текущих проектов, которые ориентированы на разные области, которые нуждаются в улучшении», — сказал Салливан. «В этом году у нас было несколько из этих инициатив, основанных на криптографии, которые были готовы к запуску в одно и то же время, поэтому мы решили объединить их вместе и объявить их в качестве прелюдии к анонсам недели Cloudflare».
Тэги: , Cloudflare, DDoS, безопасность Категории: НовостиIT
