Resumo

  • Na pesquisa apresentada na RIPE 93, a Microsoft operava doze endereços de servidores de horário, mas mais da metade de aproximadamente nove mil pontos de teste da RIPE Atlas recebeu apenas um endereço por DNS.
  • Em um experimento separado de precisão, três servidores da Microsoft ficaram com o horário deslocado por horas; um chegou a cerca de 40 a 50 milissegundos. Os exemplos de protocolos de segurança analisados no artigo toleravam esse intervalo.

O plantão não começa com uma pane. Começa com a dúvida: se o relógio do computador atrasar, com qual outro ele vai comparar? No balcão de uma relojoaria imaginária, há uma parede cheia de relógios, mas a ficha entregue ao cliente aponta para um endereço só. Esse descompasso entre estoque e escolha é o fio do estudo original de outubro de 2026, incluído na programação da RIPE 93.

Os pesquisadores examinaram sete serviços: Microsoft, Apple, Google, Ubuntu, AWS, Cloudflare e Meta. Três usam IP anycast; quatro se apoiam, em geral, em vários endereços unicast. A Microsoft tinha doze endereços de servidores NTP. Consultas DNS feitas de aproximadamente nove mil pontos RIPE Atlas, porém, devolveram um único endereço a mais da metade deles. O resultado descreve respostas observadas de pontos de teste, com local e período definidos. É no mapa de clientes, e não apenas no inventário de servidores, que se vê a resistência real.

O RFC 8633 recomenda fontes de horário independentes. Uma máquina que só enxerga uma não tem outra leitura para confrontar um erro. Os autores pedem que a Microsoft entregue pelo menos quatro endereços por cliente. Como os doze já existiam, a primeira mudança está na política de resposta do DNS. O estoque não precisa crescer para o caixa distribuir melhor.

A equipe também conferiu a precisão a partir de quatro pontos sincronizados por GPS. Em janelas de 24 horas entre maio de 2025 e junho de 2026, encontrou, numa campanha, três servidores Microsoft deslocados por várias horas; um ficou cerca de 40 a 50 milissegundos fora. O estudo diz que os protocolos de segurança usados como exemplo toleram esse desvio. A vulnerabilidade operacional está na falta de uma segunda referência quando o desvio de amanhã for maior.

O catálogo de publicações da SIDN Labs registra a versão ampliada em outubro de 2026. Ela também inventariou IPv6, DNSSEC, RPKI e Network Time Security, definido no RFC 8915. Na janela observada, só a Cloudflare reunia os quatro; a Ubuntu também oferecia NTS. NTP costuma parecer um detalhe de configuração. Esse detalhe decide quem carimba o relógio de serviços muito maiores.