Résumé

  • Un relevé DNS de douze heures, mené depuis environ 9 000 points RIPE Atlas, a trouvé 12 adresses IPv4 pour le service NTP de Microsoft ; plus de la moitié des points n’en recevaient qu’une.
  • La RFC 8633 recommande au moins quatre sources horaires indépendantes et diverses aux opérateurs soucieux de précision. Les réponses reçues déterminent combien de sources le client peut comparer.

Analyse

Dans BigTime: Characterizing Large Time Service Providers, Pascal Huppert et sept coauteurs prennent la réponse DNS reçue au point de mesure comme unité d’observation. Ils interrogent directement les serveurs faisant autorité toutes les dix minutes pendant douze heures ; environ 9 000 sondes RIPE Atlas fournissent des réponses valides dans 170 pays.

Pour le NTP de Microsoft, l’inventaire comptait 12 adresses IPv4 ; plus de la moitié des points mesurés n’en recevaient qu’une seule. Une campagne distincte de 60 jours a retrouvé le même ensemble de 12 adresses.

Atlas enregistre des réponses DNS, pas la configuration des sources horaires de chaque appareil Windows. Une adresse peut desservir plusieurs machines : cette mesure décrit les choix visibles au point de mesure, pas le nombre de machines ni l’indépendance de leurs domaines de panne.

Côté exploitation, il faut rapprocher les réponses DNS des listes de sources configurées, puis cartographier routes, opérateurs et domaines de panne. Deux adresses peuvent partager une même dépendance et tomber ensemble. C’est là que le principe de diversité de la RFC 8633 devient concret.

L’étude mesure aussi la précision dans une expérience distincte, menée depuis quatre points synchronisés sur une référence : AWS en Suède (SE-AWS), aux États-Unis (US-AWS), au Japon (JP-AWS) et SIDN aux Pays-Bas (NL-SIDN). Chaque point a interrogé les adresses Microsoft toutes les cinq minutes pendant 24 heures. SE-AWS a reçu 3 450 réponses sur 3 456 requêtes ; 199, soit 5,8 % des réponses reçues, dépassaient la borne RTT/2. Selon la méthode de l’article, pour des horloges synchronisées, un écart supérieur à la moitié du temps aller-retour ne s’explique pas par le seul délai du réseau.

Les auteurs rattachent ces 199 réponses à trois serveurs Microsoft dont les horloges sont restées décalées pendant plusieurs heures. Depuis les trois autres points, aucune réponse Microsoft ne dépassait cette même borne. Dans le tableau SE-AWS consacré aux serveurs concernés, l’écart maximal indiqué est de −50,97 ms.

Pascal Huppert, doctorant de deuxième année dans le groupe DACS à University of Twente, étudie la résilience et la sécurité de NTP. Son travail fait de l’adresse visible par le client le point de départ d’un contrôle opérationnel : vérifier la réponse DNS, la liste de sources du poste et les dépendances qu’elles partagent.

Sources