附录 C. 认证问题

本附录描述一种可选认证机制, 可用于验证 NTP 消息完整性, 并防止消息修改和重放攻击. 该机制基于 MD5 加密哈希函数, 并在 peer 之间使用共享密钥. 启用认证时, 包含 key identifier 和 message digest 的 authenticator 字段会追加到 NTP 消息后.

认证机制提供以下安全服务:

消息完整性: 确保消息在传输过程中未被修改.
源认证: 验证消息来自持有共享密钥的合法 peer.
重放保护: 与 NTP 时间戳机制结合时, 提供对重放攻击的防护.

认证机制是可选的, 不必在所有情况下实现. 但是, 当安全性很重要时, 尤其是在未授权时间服务器可能注入虚假时间信息的环境中, 认证机制提供了一种有效保护手段.

C.1. NTP 认证机制

NTP 认证机制使用 MD5 加密哈希函数, 对 NTP 消息和共享密钥计算 message digest. 该 message digest 连同标识所用密钥的 key identifier 一起追加到 NTP 消息的 authenticator 字段中.

Authenticator 字段格式如下:

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                         Key Identifier                        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                                                               |
|                         Message Digest                        |
|                                                               |
|                                                               |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Key Identifier: 这是一个 32 位无符号整数, 标识用于生成 message digest 的加密密钥.

Message Digest: 这是一个 128 位 MD5 哈希, 对 NTP 消息 (直到但不包括 authenticator 字段) 和共享密钥计算得到.

共享密钥手动配置, 存储在 NTP daemon 可访问的密钥文件中. 每个密钥都有唯一标识符, 并表示为 64 位 (8 八位组) 值. 密钥格式与 DES 加密算法兼容, 但 DES 不直接用于认证机制.

C.2. NTP 认证过程

认证过程在发送和接收操作期间调用. 启用认证时, transmit 过程计算 message digest 并将 authenticator 追加到出站消息. receive 过程验证入站消息上的 authenticator, 并相应设置 authenticated bit.

C.2.1. 加密过程

启用认证时, transmit 过程会调用 encrypt 过程. 它计算 MD5 message digest, 并将 authenticator 追加到 NTP 消息.

begin encrypt procedure
    if (peer.authenable = 0) exit;           /* authentication disabled */
    
    /* Append key identifier */
    pkt.keyid <- peer.hostkeyid;
    
    /* Compute MD5 digest over message and key */
    digest <- MD5(message || key[peer.hostkeyid]);
    
    /* Append digest to message */
    pkt.check <- digest;
    
end encrypt procedure

MD5 计算覆盖整个 NTP 消息 (包括 NTP 头部和时间戳字段), 随后是共享密钥. 得到的 128 位 digest 会追加到消息的 authenticator 字段中.

C.2.2. 解密过程

decrypt 过程由 receive 过程调用, 用于验证入站消息上的 authenticator. 它使用所指示的密钥重新计算 message digest, 并与收到消息中的 digest 进行比较.

begin decrypt procedure
    if (peer.authenable = 0) begin           /* authentication disabled */
        peer.authentic <- 1;
        exit;
    endif
    
    /* Check if key identifier is valid */
    if (pkt.keyid not in sys.keys) begin
        peer.authentic <- 0;
        exit;
    endif
    
    /* Extract received digest */
    received_digest <- pkt.check;
    
    /* Compute expected digest */
    expected_digest <- MD5(message || key[pkt.keyid]);
    
    /* Compare digests */
    if (received_digest = expected_digest)
        peer.authentic <- 1;
    else
        peer.authentic <- 0;
        
end decrypt procedure

如果认证成功 (digest 匹配), authenticated bit (peer.authentic) 设置为 1, 表示消息来自合法 peer. 如果认证失败, 该 bit 设置为 0, 并且根据配置, 消息可能被拒绝.

C.2.3. 控制消息过程

当附录 B 描述的 NTP 控制消息实现了认证时, 使用相同认证机制. encrypt 和 decrypt 过程以与常规 NTP 消息相同的方式应用.

对控制消息而言, 认证尤其重要, 因为这些消息可用于读取和修改 NTP 实现的内部变量. 如果没有认证, 攻击者可能扰乱时间同步或提取敏感信息.

实现考虑

实现认证机制时应考虑以下事项:

密钥管理: 必须在所有将使用认证的 peer 上手动配置共享密钥. 应定期更换密钥以维持安全性.
性能影响: 计算 MD5 digest 会给每条消息增加处理开销. 在 CPU 资源有限的系统上, 这可能影响计时精度. 实现应在可用时考虑缓存 digest 计算或使用硬件加速.
时间戳精度: 加密操作应尽可能接近实际消息发送时刻执行, 以最小化对时间戳精度的影响. 某些实现会预先计算 digest 偏移, 以补偿加密延迟.
Key Identifier 空间: 32 位 key identifier 空间允许大量密钥, 便于密钥轮换并支持多个认证域.
向后兼容性: 带认证和不带认证的消息可以共存. 不支持认证的 peer 会直接忽略 authenticator 字段.
安全限制: 认证机制可防止消息修改和重放攻击, 但不加密消息内容. 时间信息本身以明文传输.

这里描述的认证机制在大多数 NTP 部署中提供了安全性和性能之间的实用平衡. 对需要更强安全保证的环境, IPsec 或其他传输层安全机制等额外措施可能更合适.

C.1. NTP 认证机制​

C.2. NTP 认证过程​

C.2.1. 加密过程​

C.2.2. 解密过程​

C.2.3. 控制消息过程​

实现考虑​