Network Time Security: IETF sichert NTP ab

Bisher lässt sich die Kommunikation zwischen NTP-Servern und Clients nur schwer absichern. Der IETF-Standard NTS soll das ändern.

Artikel veröffentlicht am 2. Oktober 2020, 10:25 Uhr, Sebastian Grüner

NTS soll die Zeitsynchronisation im Internet absichern. (Bild: Pixabay)

Die Internet Engineering Task Force (IETF) hat den Standard Network Time Security (NTS) als RFC 8915 veröffentlicht. Diese kündigte die Internet Society in ihrem Blog an. Ziel von NTS ist es, die Nutzung des bisher breit eingesetzten Network Time Protocol (NTP) grundlegend abzusichern. Dazu sollen kryptografische Grundfunktion genutzt werden, damit Clients künftig die Authentizität und Integrität von NTP-Servern sicherstellen können. Bisher war dies zwar auch möglich, jedoch deutlich komplizierter und praktisch kaum für alle umsetzbar.

Hintergrund der Arbeiten an NTS ist, dass viele wichtige Funktionen im Internet auf korrekte Zeitstempel angewiesen sind. Das betrifft etwa die meisten kryptografischen Funktionen, um gültige Laufzeiten für Zertifikate und Signaturen festzulegen. Auch für das Caching bestimmter Informationen ist eine richtige Zeitangabe essentiell, um die Korrektheit der zwischengespeicherten Daten zu überprüfen.

Das klassische NTP setzt zur Absicherung der Kommunikation bisher auf symmetrische Schlüssel, die für jeden Client verteilt werden mussten. Anschließend musste noch manuell deren Nutzung konfiguriert werden. Die US-Standardisierungsbehörde verschickte diese Schlüssel laut Anbieter Cloudflare etwa über die Post oder per Fax. Dieses Vorgehen skaliert aber offensichtlich nicht besonders gut, wenn alle Clients weltweit abgesichert werden sollen, die NTP nutzen.

Zweitstufiges neues Protokoll

Genau dort setzt NTS mit seinem zweistufigen Protokoll an. Zunächst tauschen Client und Server Schlüssel über einen separaten Kanal aus. Dies wird NTS Key Exchange genannt und basiert auf dem neuen TLS 1.3. Dabei kann auf Grundlage bestehender PKI-Technik mittels Zertifikaten auch der Server authentifiziert werden. Das dann ausgetauschte Schlüsselmaterial wird letztlich über Erweiterungsfelder in den NTP-Nachrichten selbst genutzt, um deren Authentizität und Integrität zu überprüfen.

Unterstützt wird das neue Protokoll von den Open-Source-Projekten Chrony und NTPSec. Darüber hinaus unterstützen bereits Netnod sowie Cloudflare das neue NTS-Protokoll für ihre Zeitserver. Details zu NTS haben wir in einem Artikel im Sommer 2019 beschrieben.