Resumo

  • Uma medição DNS de 12 horas em cerca de 9 mil pontos RIPE Atlas encontrou 12 endereços IPv4 no serviço NTP da Microsoft; mais da metade dos pontos recebeu apenas um.
  • A RFC 8633 recomenda pelo menos quatro fontes independentes e diversas para operadores que precisam de precisão. As respostas DNS recebidas por cada cliente definem quantas fontes ele consegue comparar.

Análise

Em BigTime: Characterizing Large Time Service Providers, Pascal Huppert e outros sete coautores acompanham a resposta DNS no ponto onde o cliente a recebe. Durante doze horas, consultaram diretamente o DNS autoritativo a cada dez minutos; cerca de 9 mil pontos RIPE Atlas deram respostas válidas em 170 países.

No serviço NTP da Microsoft, o inventário somava 12 endereços IPv4; mais da metade dos pontos medidos recebeu apenas um endereço distinto. Uma campanha separada, ao longo de 60 dias, observou o mesmo conjunto de 12 endereços.

O Atlas registra respostas DNS, não a configuração de fontes horárias em cada computador Windows. Um endereço IP pode atender a várias máquinas; a medição mostra as opções visíveis em cada ponto, não a quantidade de máquinas ou de domínios de falha independentes.

Para a operação, o passo seguinte é comparar o que o DNS entrega com a lista de fontes configurada no dispositivo e mapear rotas, operadores e dependências. Dois endereços podem compartilhar o mesmo caminho de falha. A orientação de diversidade da RFC 8633 ganha efeito nessa comparação, não na contagem isolada de endereços.

A equipe também mediu a precisão em uma etapa separada, com quatro pontos sincronizados a referências: AWS na Suécia (SE-AWS), nos Estados Unidos (US-AWS), no Japão (JP-AWS) e SIDN nos Países Baixos (NL-SIDN). Cada ponto consultou os endereços da Microsoft a cada cinco minutos durante 24 horas. A SE-AWS recebeu 3.450 respostas de 3.456 consultas; 199 — cerca de 5,8% das respostas recebidas — ultrapassaram o limite RTT/2. Pelo método do estudo, em relógios sincronizados um desvio acima da metade do tempo de ida e volta não se explica só pelo atraso da rede.

Os autores ligaram essas 199 respostas a três servidores da Microsoft que ficaram fora de sincronia por várias horas. Nos outros três pontos, nenhuma resposta da Microsoft ultrapassou esse mesmo limite. Na tabela da SE-AWS sobre os servidores afetados, o maior offset listado foi −50,97 ms.

Pascal Huppert, doutorando no grupo DACS da University of Twente, pesquisa resiliência e segurança NTP. Seu artigo transforma o inventário do provedor em uma pergunta operacional: que endereço chega ao cliente e quais fontes independentes o dispositivo consegue usar?

Fontes