요약

  • NTP는 단 하나의 응답에서 진실을 얻지 않는다. 네 개의 타임스탬프로 오프셋과 왕복 지연을 추정하고, 반복 관측을 필터링하고, 충분한 합의가 존재할 때 일관되지 않은 출처를 거부하며, 클라이언트 자체의 시계를 규율한다.
  • 스트래텀(stratum)은 기준 시계로부터의 거리를 나타내며 타이밍 루프를 방지하는 데 도움을 준다. 그러나 스트래텀은 정확도, 소유권 또는 기관적 서열의 증명서가 아니며, 여러 서버가 하나의 숨은 장애를 공유할 수도 있다.
  • 이후 등장한 인증은 클라이언트/서버 교환을 보호할 수 있지만, 잘못된 상위 시계를 올바르게 만들 수는 없다. 다양성, 권한, 모니터링, 최종 시계 정책은 여전히 운영자의 결정이다.

확신에 찬, 잘못된 시계들로 가득한 인터넷

David Mills의 1989년 보고서는 당혹스러운 결과로 시작했다. 한 조사는 94,260개 호스트와 게이트웨이를 향해 시간 프로토콜 질의를 세 번 보냈다. 응답한 20,758개 중 약 절반이 조사의 기준 시각보다 2분 이상 벗어난 시각을 보고했다. 약 10분의 하나는 4시간 이상 벗어났고, 일부는 2주 이상 틀려 있었다.

이 수치는 연결된 모든 기계의 인구조사가 아니었다. 이는 하나의 실험에서 도달 가능한 응답자를 묘사한 것이었다. 그 한계에도 불구하고 이 수치는 유혹적인 가정을 무너뜨렸다. 즉, 연결성만으로 시계를 증인으로 만들지는 못한다. 기계는 자신의 발진기가 흐르고, 시간대 설정이 잘못 적용되고, 상위 출처가 실패하거나, 운영자가 전혀 알아차리지 못하면서도 즉각적이고 일관되게 답할 수 있다.

Network Time Protocol은 바로 그 불신을 둘러싸고 자라났다. 이 프로토콜의 성과는 더 설득력 있는 시계를 지명한 것이 아니었다. 불일치를 측정 가능하게 만들고, 클라이언트에게 그럴듯하지 않은 출처를 배제하는 방법을 제공하며, 마지막 행위, 즉 로컬 시계를 바꾸는 일을 그 결과를 감당할 기계 안에 남겨둔 것이다.

NTP 이전, 하나의 불확실한 여정을 둘러싼 네 개의 순간

이 설계에는 1981년 DCNET Internet Clock Service라는 뚜렷한 조상이 있었다. RFC 778은 품질이 고르지 않은 시계들을 묘사했다. COMSAT에서 WWV를 수신하는 무선 링크 출처와 오프셋과 드리프트에 노출된 전력선 시계가 그것이었다. ICMP 타임스탬프 메시지는 두 협력 호스트가 요청과 반환을 둘러싼 순간들을 기록하게 했다.

이 교환이 NTP가 다듬게 될 기하학을 도입했다. 현대적 표기법으로, 클라이언트는t1에 전송하고 서버는t2에 수신하며, 서버는t3에 전송하고 클라이언트는t4에 수신한다. 이 네 개의 판독값으로부터 NTP는 클라이언트가 서버에 대해 갖는 오프셋을[(t2 - t1) + (t3 - t4)]의 절반으로 추정한다. 왕복 네트워크 지연은(t4 - t1) - (t3 - t2)로 추정한다.

이 방정식들은 네트워크 시계를 멈추지 않는다. 서버의 처리 구간을 빼내고 두 방향을 사용해 실용적인 오프셋 추정치를 만든다. 가는 길과 돌아오는 길의 지연이 실질적으로 다르면, 그 비대칭은 시계 오류가 된다. 어떤 패킷도 두 개의 편도 지연을 독립적으로 밝혀주지 못한다. 따라서 NTP는 타임스탬프 형식의 정밀함으로 논쟁할 수 없는 불확실성을 지닌 추정치에서 출발한다.

패킷을 잃어도 계속 진행할 수 있는 프로토콜

RFC 958이 1985년 9월에 NTP를 규정했다. RFC 1059의 버전 1 설명은 약 2년간의 프로토타입 운영 뒤인 1988년에 이어졌다. Mills는 시간 서버들의 분산형 서브넷, 복수의 1차 기준 출처, 그리고 2차 서버들로 뻗어나가는 계층적 경로를 제시했다. 이 아키텍처는 인터넷을 위한 단일 마스터를 즉위시키는 전역 선거를 요구하지 않았다.

신뢰할 수 있는 전달도 요구하지 않았다. 사라진 시간 데이터그램을 순서대로 복구할 필요는 없었고, 다른 측정이 그 자리를 대신할 수 있었다. 이 "반환 가능한 시간(returnable-time)" 방식은 패킷을 지연시키고, 재정렬하고, 드롭하는 멀티게이트웨이 인터넷에 어울렸다. 프로토콜의 상태는 하나의 트랜잭션의 신성함이 아니라 관측의 흐름에서 나왔다.

버전 1은 이미 타임스탬프 교환 이상을 해야 했다. 샘플을 필터링하고, 글리치를 억제하고, 발진기 드리프트를 보상하며, 새로 들어온 모든 값을 시계를 점프시키라는 명령으로 취급하는 대신 오프셋을 슬루(slew)해야 했다. RFC 1059는 프로토타입 환경에서 수십 밀리초 수준의 결과를 보고했다. 이는 그 테스트들에 대한 증거이며, 모든 경로, 시계, 구현에 대한 시간을 초월한 보장이 아니다.

이 역사적 흐름이 중요하다. NTP는 먼저 완벽한 시간 배포를 해결한 뒤 견고성을 추가한 것이 아니었다. 신뢰할 수 없는 네트워크와 제멋대로인 로컬 발진기야말로 설계의 원래 재료였다.

샘플에서 따를 만한 시계까지

설정된 각 출처는 오프셋과 지연 추정치의 연속을 만들어낸다. 클록 필터는 유용한 최근 샘플, 특히 표시 지연이 낮은 샘플을 선호한다. 큐잉이 측정값을 부풀릴 수는 있어도 물리적 경로를 관측된 최선의 사례보다 빠르게 만들 수는 없기 때문이다. 갑작스러운 이탈은 명령이 아니라 잡음으로 처리될 수 있다.

더 어려운 문제는 출처들이 서로 불일치할 때 시작된다. NTP는 각 후보를 추정된 불확실성을 포함하는 구간으로 표현한다. 클록 선택 절차는 방어 가능한 교집합을 찾고, 그 밖의 후보를 falseticker(거짓 티커)로 표시한다. RFC 1305로 문서화된 버전 3은 이 오류 경계와 선택 알고리즘을 다듬었다. 버전 4는 살아남은 후보들을 클러스터링하고 그 오프셋을 시스템 추정치로 결합하는 이후 단계들을 기술한다.

이것은 다수결 마법이 아니다. University of Delaware의 알고리즘 설명은 충분한 교집합이 존재하지 않는 경우를 명시적으로 다룬다. 즉, 선택은 실패할 수 있다. 클라이언트가 해결되지 않은 불일치를 정확도로 위장하는 것보다 스스로 비동기화 상태라고 선언하는 편이 낫다.

겉보기 다수도 상관될 수 있다. 다섯 개의 호스트명이 같은 GPS 수신기, 같은 가상화 호스트, 같은 운영자 실수, 같은 윤초 스머어 정책으로 거슬러 올라갈 수 있다. NTP는 수신한 관측값을 비교할 수 있지만, 타임스탬프 산술만으로 모든 숨은 행정적 또는 물리적 의존성을 발견할 수는 없다.

옥좌가 아닌 사다리

스트래텀은 오해를 부르는 사회적 은유로 변하기 가장 쉬운 필드이다. NTPv4에서 스트래텀 1 서버는 1차 기준 시계와 직접 연관된다. 스트래텀 2부터 15까지는 연속적인 동기화 거리를 나타낸다. 스트래텀 16은 출처가 비동기화 상태임을 뜻한다.

이 사다리는 루프를 막는 데 도움이 된다. 서버는 자신의 후손으로부터 시간을 파생해 오류를 무한히 순환시켜서는 안 된다. 기준으로부터의 거리가 멀어질수록 불확실성도 커지는 경향이 있다. 그러나 낮은 숫자가 잘 운영되는 서비스를 인증하지는 않는다. 혼잡하거나 결함 있는 스트래텀 1 서버는 좋은 경로 측정을 지닌 안정적인 스트래텀 2 또는 스트래텀 3 서버보다 나쁜 출처일 수 있다.

따라서 스트래텀은 기업 소유권, 공적 위임 또는 다른 조직의 시계를 설정할 권리에 대해 아무것도 말하지 않는다. NTP는 1차 출처와 계층적 배포를 유지하지만, 그 계층은 단 하나의 주권적 트리가 아니다. 클라이언트/서버, 브로드캐스트, 대칭 모드가 공존한다. 대칭 피어는 양방향으로 시간을 교환할 수 있고, 클라이언트는 행정적으로 구분된 여러 출처를 선택할 수 있다.

이 프로토콜의 헌법적 선택은 계층을 폐지하는 것이 아니었다. 기준 거리가 자동으로 논쟁 불가능한 권위가 되는 것을 막는 것이었다.

운영자는 여전히 루프 안에 있다

이후의 모범 사례들은 아직 완성되지 않은 일을 드러낸다. RFC 8633은 진정으로 다양한 복수 출처를 권고한다. 출처들의 장애가 독립적이라면 넷 이상의 출처가 내성을 높일 수 있다. 또한 운영자에게 그 출처들을 모니터링하도록 요청한다. 설정 당시에는 건전했던 서버도 소유권, 계보, 윤초 정책, 품질이 바뀔 수 있다.

다양성은 기술적이기도 하고 기관적이기도 하다. 서로 다른 자율 시스템에 있는 출처들이 여전히 같은 기준 시계를 공유할 수 있다. 다른 이름으로 운영되는 출처들이 하나의 애니캐스트 서비스일 수 있다. 윤초 스머어 시간과 스머어하지 않은 UTC를 섞으면, 윤초 이벤트 동안 건강한 시계들이 falseticker처럼 보일 수 있다. 클라이언트는 몇 개의 응답이 도착했는지만이 아니라, 그 응답들이 어떤 의존성과 어떤 시간 척도를 대표하는지도 알아야 한다.

권한도 올바름의 한 부분이다. 공개 도달 가능성은 무제한 라이선스가 아니다. RFC 8633은 벤더들이 합의 없이 제3자 공개 서버를 임베디드 제품에 하드코딩하지 말라고 경고한다. 한 번 쓰인 기본값은 수백만 대 기기의 수명 동안 트래픽을 보낼 수 있으며, 서버 운영자에게 자신이 수락한 적 없는 의존성을 부담하고 방어하도록 남겨둔다. NTP의 UDP 서비스와 관리 인터페이스도 증폭 공격에 악용된 이력이 있으므로 레이트 제어와 노출 결정이 필요하다.

이러한 의무는 오프셋 방정식에 위임할 수 없다. 프로토콜은 증거를 제공하고, 운영자가 증인을 선택하며 그 선택의 대가를 감당한다.

시간부 없는 인증

2020년에 RFC 8915로 표준화된 Network Time Security는 NTP 클라이언트/서버 모드를 보호한다. TLS 기반 키 설정 교환이 클라이언트에게 키 자재와 보호된 쿠키를 제공한다. 이후 NTP 패킷은 인증된 확장 필드를 사용하며, 클라이언트가 쿠키를 지니고 있기 때문에 시간 서버는 설정 이후 스테이트리스로 남을 수 있다.

NTS는 중요한 질문에 답한다. 이 응답이 예상된 서버로부터 왔는가, 그리고 전송 중에 변경되었는가. 그러나 서버의 기준 시계가 올바른지, 상위 출처들이 독립적인지, 윤초 정책이 클라이언트의 요구와 일치하는지에는 답하지 않는다. 인증된 실수도 여전히 무결성을 갖춘 채로 전달되는 실수다.

범위 역시 정확하다. RFC 8915는 NTP 대칭 모드와 제어 모드를 보호하지 않는다. "NTS 활성화"를 만능 보안 인장으로 취급하면 이 명세가 지켜온 경계 자체가 지워진다.

수정 가능한 증거로서의 공유 시간

시계는 이제 로그, 인증서 유효성, 데이터베이스 쓰기, 시장 이벤트, 산업 조치들의 순서를 정한다. 큰 오류는 올바른 보안 자격 증명이 만료된 것처럼 보이게 하고, 사건들의 겉보기 순서를 뒤집으며, 분산 시스템을 분열시킬 수 있다. 그 중요성은 확실성을 대신해설 수 있는 하나의 서비스 브랜드를 찾으려는 압력을 만든다.

NTP는 더 낫지만 덜 안심시키는 타협을 제안한다. 클라이언트는 가을 수 있는 진술을 기록한다. 잡음이 많은 여정을 할인하고, 출처들을 비교하고, 일부를 거부하고, 다른 일부를 결합하며, 불완전한 로컬 발진기를 끊임없이 규율한다. 증거들이 더 이상 겹치지 않으면, 충돌을 정밀한 표시로 세탁하는 대신 시간을 알 수 없다고 말할 수 있다.

어떤 참여자도 불필요해지지 않는다. 기준 시계 운영자는 자신의 민간시간 연결을 유지한다. 서버 운영자는 계보와 접근을 관리한다. 네트워크는 지연을 형성한다. 클라이언트는 출처를 선택하고 시계가 어떻게 움직일 수 있는지를 결정한다. 프로토콜 설계자는 이 관계들을 측정 가능하게 만들면서도 어느 한쪽에 시간의 소유권을 부여하지 않는다.

불일치로 세워진 시계는 신뢰와 무관하지 않다. 그 신뢰는 복수적이고, 관측되며, 번복 가능하다. NTP가 이렇게 모든 연결된 기계로 하여금 자신의 시계를 하나의 영구 마스터에 넘기도록 요구하지 않고서 공통 시간 서비스를 가능하게 만든 것이다.

출처와 증거의 한계

NTP 이전의 타임스탬프 교환은RFC 778에 문서화되어 있다. 최초의 NTP 명세는RFC 958이며, 버전 1 아키텍처와 프로토타입 주장은RFC 1059에 담겨 있다. 1989년 조사는RFC 1129에 실려 있다.

버전 3의 필터링과 선택은RFC 1305에 문서화되어 있다. 현재의 네 타임스탬프 모델, 스트래텀, 모드, 이후의 선택 파이프라인은RFC 5905에 규정되어 있으며, University of Delaware의Clock Select Algorithm으로 보완된다. 운영 지침은RFC 8633에서, NTS의 클라이언트/서버 보안 범위는RFC 8915에서 제공된다.

RFC 1129의 수치는 그 조사에서 응답한 시스템을 다루며, 모든 인터넷 호스트를 다루지 않는다. 프로토콜 버전은 이 문서들 사이에서 바뀌었다. 이후의 요구 사항과 알고리즘은 성숙한 제어 표면을 설명하는 데 사용되며, 1985년 구현에 귀속되지 않는다.