«Сверить часы»: что известно о новом протоколе синхронизации времени серверов

[fougasse]

Т.е. как бы замена, но и не замена.
Ясно, что проверить сертификат — точности ± пару секунд хватит, да и хэш посчитать не будет особой проблемы.
А для точности и так PTP есть.

[legolegs]

У него нет механизмов компенсации латентности в сети

А что, по-нормальному нельзя было сделать? Авторов нового стандарта кто-то торопит или они не знают, что скорость света конечна? Зачем выкатывать дефективный стандарт?

[justhabrauser]

Следите за руками:

IETF представил черновик…
… в перспективе Roughtime могут сделать… интернет-стандартом…
… Инженеры совместно с Google и Cloudflare представили…
… компания SpiderOak… Roughtime планируют использовать...

Это — не стандарт. И никто никуда не торопится.
А вот SM-манагер VAS Experts торопится и очень (после получки в Птн).
Поэтому легким движением мыша черновик идеи превращается… превращается… превращается…
в "Что известно о новом протоколе".

А Вы купились.

А манагеру респект. С занесением в получку. Следующую. Может быть.

[legolegs]

Ну нет. Черновик IETF — это всё-таки не статья на хабре и не надпись на заборе. Ключевые вещи должны быть прописаны на этом этапе, хотя бы в главе о решаемых задачах.

PS Хотя, признаю, что утратил бдительность. Это отсутствие упоминания JSON меня расслабило.

[skymal4ik]

Интересно, спасибо! Даже не задумывался, что с помощью времени и ntp можно например составить сертификат :)

Кстати, на головном оборудовании для тв-вещания почти всегда стоят GPS-часы, чтобы не зависеть от сети. Ну и заддосить или вещать неправильное время сложнее :)

[mergenchik]

GPS тоже можно spoof-нуть, но гораздо труднее.

[litos]

Тот же OpenNTPd уже сейчас может получать дату для явной защиты от подмены с доверенных серверов через https man.openbsd.org/ntpd.conf

[Tangeman]

Она там есть — называется autokey, и хотя её сочли недостаточно безопасной, IETF уже ведется работа над следующей версией — NTS (Network Time Security), а некоторые (Cloudflare в частности) уже даже реализовали.

В то же время, в корпоративных и сравнительно закрытых сетях вполне можно использовать NTP поверх IPSec (или других VPN), так что проблема несколько надумана, как мне кажется.

[Dr_Sigmund]

В то же время, в корпоративных и сравнительно закрытых сетях вполне можно использовать NTP поверх IPSec

Если аутентификация в IPSec сделана на основе PKI или Kerberos, то получается замкнутый круг, т.к. для её прохождения уже надо иметь синхронизированное время.

[phaggi]

:/ три раза посмотрел на заголовок и прочёл «сверлить часы».

Наверно, надо отдохнуть.

[mistiq]

Если по какой-то причине клиент не доверяет полученным данным, он может послать запрос другим серверам.

И вот тут самое интересное. А где критерии по которым клиент вдруг станет не доверять полученным данным? По сути тот же NTP только в профиль и все зависит от клиента.