Anzeige
OpenNTPD wird bald eine Möglichkeit zum sicheren Stellen der Systemzeit bieten.
OpenNTPD wird bald eine Möglichkeit zum sicheren Stellen der Systemzeit bieten. (Bild: OpenNTPD)

OpenBSD: Sichere Uhrzeit mit NTP und HTTPS

OpenNTPD wird bald eine Möglichkeit zum sicheren Stellen der Systemzeit bieten.
OpenNTPD wird bald eine Möglichkeit zum sicheren Stellen der Systemzeit bieten. (Bild: OpenNTPD)

Das NTP-Protokoll, mit dem man die Systemzeit über das Internet stellen kann, bietet keine sichere Authentifizierung und ist anfällig für Man-in-the-Middle-Angriffe. Von OpenBSD kommt jetzt eine Lösung für dieses Problem - eine Kombination aus NTP und HTTPS zum sicheren Stellen der Uhrzeit.

Anzeige

Praktisch alle modernen Betriebssysteme bieten die Möglichkeit, die Systemzeit über das Internet zu stellen. Zu diesem Zweck kommt üblicherweise das NTP-Protokoll zum Einsatz. NTP ist eines der ältesten Internetprotokolle überhaupt, es wurde bereits Mitte der 80er Jahre entwickelt. Für heutige Sicherheitsanforderungen taugt NTP eigentlich nicht mehr, denn es bietet keinerlei kryptographische Absicherung der übertragenen Daten. Zwar muss die Uhrzeit nicht verschlüsselt werden, denn geheim ist sie natürlich nicht, aber NTP wird üblicherweise auch ohne Authentifizierung eingesetzt. Dadurch kann ein Angreifer einem System eine gefälschte Uhrzeit unterschieben. Das kann wiederum in weiteren Angriffen ausgenutzt werden.

NTP-Authentifizierung unsicher

Es gibt zwar eine authentifizierte Version von NTP, doch die wird kaum genutzt, und das aus gutem Grund: Vor einigen Jahren konnte gezeigt werden, dass diese Authentifizierung gravierende Sicherheitslücken hat und praktisch keinen Schutz gegen Angriffe bietet.

Einen alternativen Ansatz zum Setzen der Systemzeit verfolgt das von Jacob Appelbaum entwickelte Tool Tlsdate. Es nutzt den Timestamp einer TLS-Verbindung. Das ist zwar sicherer, hat aber einen Nachteil: Der Timestamp von TLS ist lediglich sekundengenau, außerdem wird die Laufzeit, die ein Datenpaket durchs Netz benötigt, nicht berücksichtigt. Damit sind bei Tlsdate Ungenauigkeiten im Bereich von ein bis zwei Sekunden möglich. Das ist für die meisten Desktop- und Serveranwendungen zwar egal, aber für Spezialanwendungen werden häufig genauere Uhrzeiten benötigt. Ein weiteres Problem von Tlsdate: Für die kommende TLS-Version 1.3 ist geplant, den Timestamp aus den TLS-Datenpaketen zu entfernen. Alternativ kann Tlsdate daher bereits heute auch die Zeit aus einem HTTP-Header nutzen.

HTTPS definiert Grenzen für NTP-Zeit

Die OpenBSD-Entwickler Reyk Flöter, Henning Brauer und Theo de Raadt haben nun eine neue Lösung für eine sichere Systemzeit vorgestellt. Bevor eine NTP-Abfrage gestartet wird, schickt der NTP-Daemon eine Anfrage an einen oder mehrere HTTPS-Server und liest die Zeit des HTTP-Headers aus. Die daraus ausgelesene Zeit wird allerdings wegen ihrer Ungenauigkeit nicht direkt genutzt. Sie dient nur dazu, eine Begrenzung der gültigen Zeit zu definieren. Anschließend wird wie bisher ein NTP-Server abgefragt. Sollte eine deutliche Abweichung zwischen der Zeit des HTTPS-Servers und des NTP-Servers bestehen, wird die Antwort des NTP-Servers verworfen.

Versucht nun ein Angreifer mittels einer Man-in-the-Middle-Attacke, die Systemzeit zu manipulieren, so fällt dies in der Regel auf. Lediglich im niedrigen Sekundenbereich fällt dabei eine Manipulation nicht auf. Das dürfte für praktische Angriffe kaum zu gebrauchen sein. Das Attraktive an dieser Lösung: Sie vereint die Vorteile von Tlsdate und NTP, gleichzeitig basiert das Konzept ausschließlich auf bestehenden Protokollen. Es sind keine Änderungen an der Serversoftware notwendig, man kann bestehende HTTPS- und NTP-Server nutzen.

Der Code ist Teil des NTP-Servers von OpenBSD. Dieser steht unter dem Namen OpenNTPD auch für andere Betriebssysteme zur Verfügung. Die aktuelle Version von OpenNTPD enthält die neue HTTPS-Funktionalität allerdings noch nicht. OpenBSD-Nutzer können die neue Funktion im CVS-Code des NTP-Daemons bereits testen.

Delorean ermöglicht Man-in-the-Middle-Angriffe

Dass Angriffe auf NTP-Verbindungen ein sehr praktisches Sicherheitsproblem sein können, zeigte im vergangenen Jahr der Sicherheitsforscher Jose Selvi auf der Black-Hat-Konferenz in Amsterdam. Wenn man einen PC mittels einer Man-in-the-Middle-Attacke in die Zukunft schickt, kann man die HTTPS-Erweiterung HTTP Strict Transport Security umgehen. Selvi entwickelte dafür das Tool Delorean, mit dem man Man-in-the-Middle-Angriffe auf NTP durchführen kann. Das Tool steht im Quellcode auf Github zur Verfügung.


eye home zur Startseite
Rabbit 17. Feb 2015

Weil NTP auf UDP basiert und nicht TCP, drum kann man nicht einfach TLS drum herum...

Wimmmmmmmmy 16. Feb 2015

Wie gesagt. NTP braucht vielleicht 40 kb. Die SSL Erweiterung kann gut es um 2-5 MB...

barforbarfoo 16. Feb 2015

Ohne Uhrzeit Zertifikate überprüfen, wer denkt sich so einen Mist aus.

Joe User 16. Feb 2015

Dass das NTP in seiner aktuellen Form suboptimal ist, steht ausser Frage. Aber man muss...

humpfor 16. Feb 2015

Das NTP ist ein Zustand der Oberklasse! Viele DDOS Attacken werden sogar von Servern...

Kommentieren



Anzeige

  1. Fachinformatiker (m/w) für Systemintegration
    Deutsches Krebsforschungszentrum, Dresden
  2. Software-Entwickler (m/w)
    AOK Systems GmbH, Frankfurt am Main
  3. IT-Projektmanager (m/w)
    PwC IT Services Europe GmbH, Düsseldorf, Frankfurt am Main
  4. IT Leiter (m/w)
    über pergenta c/o GermanPersonnel e-search GmbH, Raum Leipzig

Detailsuche



Anzeige
Top-Angebote
  1. NEU: Zotac Geforce GTX970
    259,00€ (Vergleichspreis: 290,04€)
  2. NEU: Geforce GTX 1080 Info-Seite
    ab 27.05. verfügbar
  3. GELISTET: Asus GeForce GTX 1080 Founders Edition
    789,00€

Weitere Angebote


Folgen Sie uns
       


  1. Pastejacking im Browser

    Codeausführung per Copy and Paste

  2. Manuela Schwesig

    Familienministerin will den Jugendschutz im Netz neu regeln

  3. Intels Compute Stick im Test

    Der mit dem Lüfter streamt (2)

  4. Google Chrome für zSpace

    Augmented-Reality-Version des Browsers kommt noch 2016

  5. Medizin

    Tricorderartiger Sensor erfasst Vitaldaten

  6. TG-Tracker

    Sensorbeladene Olympus-Actionkamera mit 4K-Aufnahme

  7. Trotz Unterlassungserklärung

    Unitymedia bleibt im Streit um WLAN-Hotspots hart

  8. Auftragshersteller

    Apple soll Bestellungen für iPhone 7 stark erhöht haben

  9. TSST-K

    Ungewisse Zukunft für einen der letzten ODD-Anbieter

  10. Google und Starbreeze als Partner

    Imax arbeitet an VR-Kamera und VR-Kinos



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Doom im Test: Die beste blöde Ballerorgie
Doom im Test
Die beste blöde Ballerorgie
  1. id Software Doom wird Vulkan unterstützen
  2. Id Software PC-Spieler müssen 45 GByte von Steam laden
  3. id Software Dauertod in Doom

Darknet: Die gefährlichen Anonymitätstipps der Drogenhändler
Darknet
Die gefährlichen Anonymitätstipps der Drogenhändler
  1. Privatsphäre 1 Million Menschen nutzen Facebook über Tor
  2. Security Tor-Nutzer über Mausrad identifizieren

Privacy-Boxen im Test: Trügerische Privatheit
Privacy-Boxen im Test
Trügerische Privatheit
  1. APT28 Hackergruppe soll CDU angegriffen haben
  2. Veröffentlichung privater Daten AfD sucht mit Kopfgeld nach "Datendieb"
  3. Security Roboter aus Lego knackt Gestenauthentifizierung

  1. Re: Indische Dienstleister

    Netspy | 13:40

  2. Re: War zu erwarten....-die Meldung.

    nightmar17 | 13:40

  3. Re: Skeptisch ...

    My1 | 13:39

  4. Re: Mini PCs

    RicoBrassers | 13:39

  5. Re: wäre schön

    Menplant | 13:39


  1. 13:45

  2. 12:33

  3. 12:02

  4. 11:56

  5. 11:38

  6. 11:28

  7. 11:10

  8. 10:43


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel