Résumé

  • Les mesures BigTime de 2025, présentées à RIPE 93, montrent qu’environ la moitié de plus de 9 000 points RIPE Atlas utilisant le service Microsoft recevaient une seule source NTP dans leur réponse DNS. L’inventaire de l’étude comptait 12 adresses IPv4.
  • RFC 8633 recommande plusieurs sources horaires pour un client NTP. Le nombre d’adresses DNS, de sites Anycast et d’horloges indépendantes mesure trois choses différentes.

L’heure est un réglage discret qui peut arrêter une machine avec beaucoup de bruit. Les certificats expirent selon l’horloge, les journaux ordonnent les événements par leur horodatage, les caches et les clés suivent leurs propres durées de vie. On ouvre rarement le panneau de réglage de l’heure avant qu’un problème n’éclate. Le service placé derrière ce réglage exerce donc un pouvoir que presque personne ne voit.

À RIPE 93, le chercheur Pascal Huppert a présenté BigTime, une étude sur la réplication des serveurs de sept grands services horaires et sur la façon dont ils orientent les clients. Les mesures figurent dans le rapport original publié en 2025. L’intervention d’octobre 2026 a apporté ces résultats à la communauté de mesure de RIPE ; les expériences n’ont pas été relancées ce mois-là. Un résultat donne une définition très concrète à l’expression « beaucoup de serveurs ».

Pour examiner la cartographie DNS, l’équipe a utilisé 500 sondes RIPE Atlas. Chacune interrogeait directement le DNS faisant autorité du service, une fois toutes les dix minutes pendant huit heures. Les chercheurs pouvaient ainsi observer les réponses faisant autorité sans prendre le cache d’un résolveur récursif pour la réponse d’origine. Une autre analyse, consacrée au nombre de serveurs présenté à chaque client, reposait sur plus de 9 000 points Atlas. Chaque point envoyait 72 requêtes DNS directes pendant 12 heures, une toutes les dix minutes. Le jeu de données Microsoft en comptait 9 010.

Dans cet échantillon, environ la moitié des points recevant le service Microsoft n’obtenaient qu’une adresse de serveur NTP. Le rapport recensait 12 adresses IPv4 pour le service. Ces chiffres décrivent deux niveaux différents : douze adresses dans l’inventaire du fournisseur, une seule dans la réponse DNS de nombreux points mesurés. Le résultat porte sur les points de mesure étudiés, pas sur la moitié de tous les ordinateurs Windows. RIPE Atlas observe des réseaux ; il ne recense pas chaque appareil de la planète.

La différence tient aux couches de réplication. Le DNS peut renvoyer plusieurs adresses pour un même nom. Anycast peut annoncer une adresse depuis plusieurs sites et laisser le routage diriger le trafic vers un emplacement proche. Un site peut aussi distribuer les requêtes entre plusieurs serveurs locaux. Ces dispositifs déplacent le trafic et peuvent absorber certaines pannes. Ils ne donnent pas automatiquement au client plusieurs sources horaires à comparer.

Les sept services étudiés n’avaient pas tous la même architecture : trois utilisaient Anycast, quatre des adresses unicast. Le présentateur a précisé que l’équipe ne pouvait pas exclure l’existence d’équilibreurs de charge locaux. Les comptes d’adresses ne donnent donc pas le nombre de machines physiques ni la carte des domaines de panne. Les mesures disent ce que le DNS exposait aux clients observés.

C’est ici que RFC 8633 cesse d’être une note de bas de page. Le document recommande que les clients NTP utilisent plusieurs sources, les comparent, retiennent les bonnes et écartent les mauvaises. Sa section sur Anycast décrit le piège : une seule adresse Anycast peut cacher un vaste ensemble distribué tout en ne présentant qu’une seule source au client. Des pools Anycast distincts permettent de conserver la simplicité de configuration et d’offrir plusieurs sources au terminal.

L’inventaire mondial d’un fournisseur et les choix reçus par un client ne mesurent pas la même fiabilité. Avec une seule adresse, un cluster caché peut améliorer la capacité ou la bascule locale ; il ne fournit pas un second relevé à comparer. Si cette source donne une heure erronée, le client n’a pas de vote indépendant dans la liste qu’il a reçue. L’étude n’a pas constaté de panne horaire généralisée. Elle a mis au jour une configuration dans laquelle la comparaison de plusieurs sources, pourtant recommandée, ne peut pas commencer.

L’expérience de précision du rapport utilisait deux points synchronisés sur des références horaires, séparément de l’échantillon DNS beaucoup plus vaste. Cette séparation compte : la mesure des adresses s’étend à de nombreux points Atlas, tandis que le test de précision reste limité. Une nouvelle mesure indépendante des paramètres par défaut actuels des systèmes d’exploitation dirait si l’instantané de 2025 décrit encore ce que reçoivent les appareils.

Le tableau de bord public d’un service horaire devrait séparer trois nombres : les adresses renvoyées à un client, les sites accessibles derrière elles et les sources indépendantes qu’il peut comparer. Une carte couverte de serveurs répond à la question de l’échelle du fournisseur. L’appareil qui attend la validation de son certificat en pose une autre.

Sources