アカウント名:
パスワード:
NTPは、HTTPSのように安全ではなく、なりすましが容易にできてしまいます。
例えば、出社・退社の時刻を管理するタイムカードシステムがあって、そのコンピュータがNTPで時刻同期していたとします。
同じLAN内からは、ARPスプーフィングというテクニックでNTPサーバを詐称することが簡単にできてしまい、偽のNTPサーバと同期させる → 出社登録する → ARPスプーフィングを止めてもとのNTPサーバと同期させるとすることにより、勤務時間を不正に改竄することができます。
ログからバレて処分を受けるかもしれないのにタイムカード改竄なんて有り得ないって?だったら、気に入らない同僚を冤罪に陥れるために、同僚の登録前後で改竄するなんてことも有り得ます。
DNS等も over HTTPS にしようというのが時代の流れなのに、今更脆弱なNTPに戻すなんてナンセンスです。
NTPが危険って話は2015年ぐらいで大体終わっています。
NTPの欠陥は2014年に沢山指摘されていて、それを受け2015年に NTP から NTPsec というプロジェクトがフォークしています。 https://www.ntpsec.org/ [ntpsec.org]
関連するRFCとしては、2014年にでたrfc7384が該当していて、ntpsec はこれを実装したものになっています。 https://tools.ietf.org/html/rfc7384 [ietf.org]
ntpsec はその後2016年に初版がリリースされ、今では多くのO
ntpsecって、どれくらい普及してるんですか。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
普通のやつらの下を行け -- バッドノウハウ専門家
NTPは脆弱で、なりすましが容易 (スコア:1)
NTPは、HTTPSのように安全ではなく、なりすましが容易にできてしまいます。
例えば、出社・退社の時刻を管理するタイムカードシステムがあって、そのコンピュータがNTPで時刻同期していたとします。
同じLAN内からは、ARPスプーフィングというテクニックでNTPサーバを詐称することが簡単にできてしまい、
偽のNTPサーバと同期させる → 出社登録する → ARPスプーフィングを止めてもとのNTPサーバと同期させる
とすることにより、勤務時間を不正に改竄することができます。
ログからバレて処分を受けるかもしれないのにタイムカード改竄なんて有り得ないって?
だったら、気に入らない同僚を冤罪に陥れるために、同僚の登録前後で改竄するなんてことも有り得ます。
DNS等も over HTTPS にしようというのが時代の流れなのに、今更脆弱なNTPに戻すなんてナンセンスです。
Re: (スコア:3, 興味深い)
NTPが危険って話は2015年ぐらいで大体終わっています。
NTPの欠陥は2014年に沢山指摘されていて、それを受け2015年に NTP から NTPsec というプロジェクトがフォークしています。
https://www.ntpsec.org/ [ntpsec.org]
関連するRFCとしては、2014年にでたrfc7384が該当していて、ntpsec はこれを実装したものになっています。
https://tools.ietf.org/html/rfc7384 [ietf.org]
ntpsec はその後2016年に初版がリリースされ、今では多くのO
Re:NTPは脆弱で、なりすましが容易 (スコア:0)
ntpsecって、どれくらい普及してるんですか。