Nous parlons des raisons de l'apparition de Roughtime et des caractéristiques de son travail.
/ Unsplash / Djim LoicPourquoi avons-nous besoin d'un nouveau protocole
Les réseaux à latence variable sont basés sur des protocoles comme
NTP (Network Time Protocol). Il synchronise l'horloge interne des systèmes informatiques. Mais il y a un certain nombre de problèmes avec le travail de NTP - les dernières versions du protocole offrent la possibilité d'authentifier les requêtes du serveur, mais dans la pratique, cette fonction
est rarement utilisée . La plupart des ordinateurs font confiance sans condition à la réponse du serveur d'heure exacte lors du réglage de l'horloge système. Par conséquent, un attaquant peut mener une attaque MITM et contrôler l'horloge de la victime, perturbant les protocoles cryptographiques et gagnant la capacité d'influencer la «fraîcheur» des clés. NTP comporte également un certain nombre de vulnérabilités que les cybercriminels utilisent
pour mener des attaques DDoS .
Des ingénieurs de l'Université de Boston, ainsi que des collègues de Google et de Cloudflare, ont présenté une approche différente pour la "réconciliation d'horloge" -
Roughtime - un protocole avec protection cryptographique basé sur UDP. La technologie était basée sur un système d'horodatage pour la blockchain, qui a été
décrit en 2011 par le cryptographe Ben Laurie, fondateur de la Apache Software Foundation et développeur principal d'OpenSSL. À propos, Ben lui-même a
également participé à la conception de Roughtime.
Comment ça marche
La réponse du serveur utilisant le protocole Roughtime se
compose de trois parties. Le premier est un horodatage avec le nombre de microsecondes qui se sont écoulées depuis «l'
ère Unix ». Le second est appelé rayon - c'est l'erreur de la valeur transmise. Le troisième élément de la réponse est un code à signature numérique unique (nonce). La valeur nonce est générée par le client lors de la demande d'un horodatage. Cette approche vous permet de vous assurer que les informations transmises sont pertinentes.
À propos des autres protocoles de notre blog sur Habré:
Si, pour une raison quelconque, le client ne fait pas confiance aux données reçues, il peut envoyer une demande à d'autres serveurs. Mais dans ce cas, le nonce est généré en hachant la réponse reçue du serveur précédent. Ainsi, le client se souvient de la séquence dans laquelle les horodatages arrivent et peut vérifier qu'ils sont corrects. Dans le même temps, il a la possibilité d'identifier des machines compromises ou mal configurées - la valeur temporelle fournie par celles-ci sera très différente.
Perspective du protocole
En mars dernier, l'Internet Engineering Council (IETF) a
présenté une ébauche de la spécification Roughtime. Cette semaine, une
version mise à jour est apparue sur le réseau. À l'avenir, Roughtime peut devenir une norme Internet à part entière et publiée en RFC. Mais le principal fournisseur et cryptographe de Cloudflare, Nick Sullivan, dit que Roughtime
ne peut pas être considéré comme un remplacement direct de NTP. Il ne dispose d'aucun mécanisme pour compenser la latence dans le réseau, ce qui peut créer des problèmes lors de la réconciliation des horloges entre deux nœuds distants (l'erreur sera très élevée). Des difficultés sont ajoutées par la cryptographie - en particulier, la fonction SHA512, pour la mise en œuvre des algorithmes dont des ressources de calcul supplémentaires sont dépensées.
/ PD / Free-PhotosÀ cet égard, les experts affirment que l'une des applications clés du protocole consistera à vérifier la période de validité des certificats SSL dans les navigateurs, car cette tâche ne nécessite pas une grande précision. La première implémentation d'une telle solution a déjà été présentée par l'un des fournisseurs de cloud occidentaux.
SpiderOak
exprime également
son intérêt pour la technologie. Elle développe le logiciel du même nom pour la sauvegarde des données. Ils prévoient d'utiliser Roughtime pour la messagerie sécurisée dans un autre produit de l'entreprise - le messager Semaphor.
Ce que nous écrivons sur le blog d'entreprise de VAS Experts: