L’IETF publie une nouvelle proposition pour ajouter la sécurité à la synchronisation du réseau

L’IETF (Internet Engineering Task Force) a publié RFC8915, sa proposition de norme pour la sécurité de l’heure du réseau (NTS). Il a duré cinq ans et est conçu pour remédier aux problèmes et aux vulnérabilités qui existent dans le protocole NTP (Network Time Protocol) actuel.

L’heure synchronisée avec précision entre différents ordinateurs sur des réseaux de données à commutation de paquets et à latence variable est essentielle. Cela devient encore plus critique à l’ère de la quatrième révolution industrielle, où la synchronisation et la séquence précises des différents processus sont vitales. Depuis son lancement en 1985, NTP a bien rempli cet objectif. Cependant, au cours des 35 dernières années, il est devenu évident que diverses vulnérabilités et problèmes dans NTP démontrent qu’il nécessite un niveau de sécurité accru. NTS est conçu pour fournir cette sécurité.

Les problèmes existants affectant le NTP de base incluent l’amplification DDoS, la manipulation de paquets et les attaques de relecture – les deux dernières étant implémentées par des attaques de type «  man-in-the-middle  » (MiTM) qui peuvent falsifier des messages et falsifier l’heure.

La principale solution a été l’introduction de la cryptographie asymétrique à l’authentification initiale du serveur. Cela peut empêcher les attaques MiTM. Le fait qu’il fonctionne plus lentement que le cryptage symétrique ouvre une possibilité accrue d’attaques DDoS contre les serveurs NTP. Cependant, comme le note RFC8915, « une attaque DDoS réussie sur un serveur NTS-KE séparé du service NTP qu’il prend en charge n’affectera pas les utilisateurs NTP qui ont déjà effectué l’authentification initiale, l’extraction de clé AEAD et l’échange de cookies. »

La norme proposée avertit également que NTS ne protège pas entièrement contre les attaques d’adversaires en route. « En plus d’abandonner des paquets et des attaques … un attaquant sur le chemin peut envoyer des réponses Kiss-o’-Death falsifiées, qui ne sont pas authentifiées, en réponse aux requêtes NTP. »

Cependant, NTS fait en grande partie …