| |
| |
| |
| |
| 5.45, Аноним (4), 19:52, 01/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +/– |
Ну ломанут, и что дальше-то с ним делать будут? 123/udp рейт-лимитится в обоих направлениях, всё остальное блэкхолится с алертом ещё до того, как во внутреннюю сеть попадёт. Если алерт без внимания три часа, виртуалка автоматически гасится с ещё более громким алертом. Диск у виртуалки в r/o и на нём только то, что нужно для запуска ntpd, даже SSH нет. В случае проблем с конкретной реализацией дежурный админ в ранбуке выбирает галочками кого снести, а кого оставить, а дальше автоматика уберёт лишнее и добавит недостающее. У нас так все публичные сервисы устроены, и ntp, и dns, и smtp, и http reverse proxy.
| | |
|
|
| |
| |
| |
| |
| 7.17, timur.davletshin (ok), 10:47, 01/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| –1 +/– |
 Я понимаю, что РФ не в передовиках по внедрению IPv6 (если IPv6 only вообще стоит копировать), но во многих странах именно IPv6 only c IPv4 через 464xlat.
> Выставил собственный Stratum 1 в pool.ntp.org...
В центральных регионах из pool'а часто перенаправляет на NTP сервер производителя глючных производственных дверей. Как-то анализировал трафик ещё лет 10 назад на предприятии и словил "а это г... что тут делает?" и с тех пор везде ntp*.vniiftri.ru прописываю. К госинституции у меня больше доверия в этом плане.
| | |
|
|
|
|
| 3.44, Ivan_83 (ok), 19:17, 01/01/2024 [^] [^^] [^^^] [ответить] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +1 +/– |
 +1
после долгих мытарств дошёл до chrony.
Единственный недостаток это его невозможно заставить засинкать время если часы сильно далеко ушли вперёд (а может и назад).
Пришлось в стартовый скрипт ОС добавить проверки и выставление времени в том интервале из которого chrony принудительно синкает.
| | |
| |
| |
| 5.65, Аноним (16), 13:07, 02/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +/– |
В сети два собственных Stratum 1. На chrony. Время от времени посматриваю как оно там с альтернативами в плане надежности, точности и стабильности. Альтернативы пока что сасай по полной. Конкретно ntpd на том же самом железе с тем же самым источником PPS дает ошибку в 10-90ppm, когда у chrony там же с тем же 0.005 ppm. Что за гении пишут ntpd, чтобы добиться таких результатов?
| | |
| |
| 6.66, нах. (?), 13:14, 02/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +/– |
> Конкретно ntpd на том же самом железе с тем же самым источником PPS дает ошибку в 10-90ppm, когда у chrony
> там же с тем же 0.005 ppm.
это имеет хоть малейшее значение в практических целях?
> Что за гении пишут ntpd, чтобы добиться таких результатов?
они переносимый софт писали, а не linoops only.
| | |
| |
| 7.68, Аноним (16), 13:45, 02/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +/– | |
Разница в погрешности в 4 порядка, вносимая программным методом, таки имеет значение. Тут обнарудилось при расковыривании внештатной ситуации, что горяче любимая одним из тутошних обитателей монга таки умеет внутри себя отслеживать события на уровне единиц микросекунд, и ошибка в 100 микросекунд будет не к месту.
А "переносимый софт" замечен за тем, что жрет время с откровенно кривого источника и уводит на него систему, в отличии от "не переносимого". Наверно это одна из причин, что там начали пилить NTPS.
| | |
|
|
|
|
|
|
| |
| 2.30, нах. (?), 16:41, 01/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +/– | |
справедливости ради - в коде оригинала тоже разобраться могли единицы.
Но это - это вообще мрак какой-то, мегапереусложненное феерическое ненужно.
Вот зачем ему супермегашифрование (непременно требующее наираспоследнюю версию openssl)?
hp c akamai страшно боятся что ВРАГ подглядит ИХ точное время и ... и .. ииии?!
| | |
| |
| |
| 4.41, Аноним (2), 18:30, 01/01/2024 [^] [^^] [^^^] [ответить] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +/– | |
> Через сервера времени вполне себе можно делать целый ряд массированных атак через тот же отказ в обслуживании из-за якобы истёкших сертификатов.
Это как? Опишите, пожалуйста, реалистичный сценарий подобной атаки.
И обязательно уточните, на кого она должна быть направлена — на клиентов или на сервер?
| | |
| |
| 5.43, timur.davletshin (ok), 18:38, 01/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| –1 +/– |
> Это как? Опишите, пожалуйста, реалистичный сценарий подобной атаки.
> И обязательно уточните, на кого она должна быть направлена — на клиентов
> или на сервер?
Отключи на сервере синхронизацию времени и выставь часы на лет 10 вперёд. А на клиентском устройстве можешь выставить назад на столько же. Удачи в игрищах. А теперь представь, что это случится в банке. Да-да-да, я из первых рук знаю, что там с свой сервер... который часто поверяется (или даже вообще синхронизируется без оглядки) через GPS. Но GPS же у нас криптографически защищен и его спуфить даже иранцы 10+ лет назад не умели.
Вы сильно доверяете коммерсантам. В реальности инфраструктура даже "серьёзных контор" полна подобных уязвимостей. Что там, давно ржали с провайдера с 20+ миллионами клиентов, где, как пару недель назад оказалось, всё хранилось в иностранном облаке :)
| | |
| |
| |
| 7.50, timur.davletshin (ok), 21:26, 01/01/2024 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]
| +/– |
> И еще непонятно, как в таком случае организовывать массированные атаки? Врываться в
> датацентры банков, подключать ко всем сервакам консоли, перезагружать их в emergency
> и править там конфиги?
Зачем? Достаточно начать с перехвата незашифрованного NTP трафик.
Я понимаю, что далеко не все застали начало интернетов. Но вообще из-за того, что у Венды часы идут по дефолту по местному времени и на первых порах никаких этих ваших NTP не было, только из-за этого было большое кол-во бугагашек, когда Netscape стал внедрять SSL.
| | |
|
|
|
|
|
|
|
