パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

NICT、http/httpsによる時刻配信を段階的に廃止することを決定。NTPに一元化へ」記事へのコメント

  • NTPは、HTTPSのように安全ではなく、なりすましが容易にできてしまいます。

    例えば、出社・退社の時刻を管理するタイムカードシステムがあって、そのコンピュータがNTPで時刻同期していたとします。

    同じLAN内からは、ARPスプーフィングというテクニックでNTPサーバを詐称することが簡単にできてしまい、
    偽のNTPサーバと同期させる → 出社登録する → ARPスプーフィングを止めてもとのNTPサーバと同期させる
    とすることにより、勤務時間を不正に改竄することができます。

    ログからバレて処分を受けるかもしれないのにタイムカード改竄なんて有り得ないって?
    だったら、気に入らない同僚を冤罪に陥れるために、同僚の登録前後で改竄するなんてことも有り得ます。

    DNS等も over HTTPS にしようというのが時代の流れなのに、今更脆弱なNTPに戻すなんてナンセンスです。

    • by Anonymous Coward on 2020年07月20日 22時13分 (#3855787)

      NTPが危険って話は2015年ぐらいで大体終わっています。

      NTPの欠陥は2014年に沢山指摘されていて、それを受け2015年に NTP から NTPsec というプロジェクトがフォークしています。
      https://www.ntpsec.org/ [ntpsec.org]

      関連するRFCとしては、2014年にでたrfc7384が該当していて、ntpsec はこれを実装したものになっています。
      https://tools.ietf.org/html/rfc7384 [ietf.org]

      ntpsec はその後2016年に初版がリリースされ、今では多くのOSで標準パッケージになっています。

      ですから、なりすまし対策が必要なら、 ntpsec を使えばそれだけで解決です。少なくとも5年間の実績があります。
      いまさら over HTTPS なんて言い出すほうが、よっぽどナンセンスです。

      親コメント
      • by Anonymous Coward

        ntpsecって、どれくらい普及してるんですか。

192.168.0.1は、私が使っている IPアドレスですので勝手に使わないでください --- ある通りすがり

処理中...