摘要

  • KoD 回包的接收和发送时间戳没有可用含义，客户端必须丢弃；stratum 0 与四字符代码共同把它变成关系状态消息，而不是低质量时间样本。
  • RATE、DENY、RSTR 能否减载，不由服务器发包这一事实决定，而由未决请求匹配、认证条件、本地上限和客户端实际状态变化决定；未认证 KoD 也可能被用于拒绝服务。

互联网里有一类负担，源头看起来只是一个默认值。制造商在固件里填入某个公共服务器，产品出厂后便不断向它发送请求。设备拥有者未必知道这个目的地，服务器运营者也未必同意承担整批产品的终身流量。几年后，选择默认值的人可能已经换了产品，接收数据包的人却仍在为那次选择付费。

RFC 4330 记载过这样的 NTP 事故。大量家庭和办公路由器被配置到同一所大学的时间服务器，其中一些设备每秒查询一次。装机量越大，流量越惊人，运营者最终不得不采取极端防御措施。

丢包可以自保，却无法让行为正常的客户端分辨：这是偶发网络损失、永久拒绝，还是服务器要求降低频率。Kiss-o’-Death（KoD，“死亡之吻”）正是在这条缝隙里形成的。它给合作留下一个窄接口，但没有假装可以支配不合作的远端代码。

字段早已存在，规则并未随之存在

RFC 1305 在 1992 年定义 NTPv3 时，已经有 8 位 Stratum 与 4 字节 Reference Identifier。stratum 0 的含义是“未指定”；对于 stratum 0 和 1，Reference Identifier 可以显示为四个 ASCII 字符。1996 年的 RFC 2030 在早期 SNTPv4 中保留了这种形状。

但这不能倒推出 KoD 从一开始就存在。字段留白不等于协议语义，四个可打印字符也不会自动获得改变客户端状态的资格。直到 2006 年，RFC 4330 才明确指出 RFC 1305 没有规定 stratum 0 Reference Identifier 的这类含义，并把它改造成状态与访问控制代码。

这次变化没有新增庞大协商系统。服务器仍返回 NTP 形状的包，只把 stratum 设为 0，并在 Reference Identifier 中放入短代码。DENY 表示拒绝，RSTR 表示策略限制，RATE 表示请求速率越界；INIT、STEP 则描述服务器的暂态。

最小化的好处是旧交换路径仍可承载反馈。代价是每个字符都必须在接收端有精确、受限的状态转换，不能凭名称想象权限。

这个回包不提供“较差的时间”

RFC 5905 把 KoD 纳入 NTPv4。stratum 0 使该包不具备同步资格，Reference Identifier 按 kiss code 解释。更关键的是，KoD 的 Receive Timestamp 与 Transmit Timestamp 都未定义，客户端必须丢弃。

因此，KoD 不是精度较低、在多源选择中应当降权的样本。它根本不进入 offset、delay 或时钟选择计算。普通回复说的是“这里有一组可用于估计时间的观测”；KoD 说的是“不要从这个包取时间，请改变你与本服务器的交互状态”。

这个分类边界限制了服务器的主张。RATE 不说明 UTC 是多少，DENY 不证明限制公平，四字符代码也不证明发送者身份。它只提出协议预设的一次局部状态迁移。

一个方向错误，保护机制就会成为放大器

收到 DENY 或 RSTR 时，RFC 5905 要求客户端撤销关联并停止向该服务器发送。收到 RATE 时，正确动作是拉长轮询间隔，减少查询。

然而 RFC 5905 的已发布文本曾写成“缩短”轮询间隔。间隔越短，请求越频繁，正好与减载目标相反。已验证勘误 3007 把方向改为“增加”轮询间隔。

这不是无关紧要的字面修补。它表明规范标签不能替代因果验证。一个实现即使识别出 RATE，若随后的包更密集，运行中的协议就是失败的。真正的证据不是日志里打印了四个字母，而是客户端计时器发生了正确变化，服务器观测到请求量下降。

KoD 由此暴露了协作式控制的两端风险。不识别它的旧设备会继续发包；误读它的设备会加剧拥塞；完全照单全收的设备又可能被恶意响应长时间压制。

未决请求给回包范围，却不给它身份

RFC 8633 要求客户端只接受 Origin Timestamp 有效的 KoD。该值应对应客户端仍在等待的请求。旧包、旁路乱入包或没有当前问题可回答的包，不应改变关联。

这个检查证明的是“它与我刚才的请求相符”，而不是“它必定由合法服务器生成”。在没有密码学保护的交换里，能观察或推断请求材料的攻击者仍可能伪造可信外观。

所以记录必须拆开：收到 KoD、匹配未决请求、通过适用的认证、执行状态变化，是四件事。把它们合成一条“服务器要求停止”，会把关联证据误写成身份与权限证据。

伪造者甚至不必提供错误时间。假 DENY 或 RSTR 能移除一条可用来源；假 RATE 能延迟下一次采样。它控制的是客户端何时、向谁寻找时间证据。

本地上限阻止服务器接管未来

服务器最了解自身负载，但这不等于它应拥有客户端无限期的轮询日程。若客户端盲目接受很大的 poll 值，错误或伪造回包可以让查询沉默过久。RFC 8633 给出的合理上限是不高于 poll 指数 13，约两小时。

具体上限是实现与场景选择，设计原则则更持久：远端可以说明压力，本地仍决定允许的最大退让。RATE 是受限委托，不是把计时器所有权交给服务器。

同样，KoD 无法强迫远端固件合作。RFC 8633 明确承认有客户端会忽略或错误实现它，因此服务器仍需在协议外丢包、限速和保护队列。KoD 帮助愿意合作的客户端理解原因；过滤器负责那些无法被说服的流量。

协调与强制在这里没有混成一件事。一个短回复可以降低正常客户端的无谓重试，却不能成为全面防护边界。

NTSN 只为密码状态失配打开一条窄路

Network Time Security 为普通 NTP 交换增加保护，也带来恢复难题：若服务器无法验证客户端的 cookie 或 authenticator，它就无法生成正常受保护回复来说明这种失败。

RFC 8915 为此定义 NTSN。服务器应发出该 KoD，并且不得附带通常的 NTS Cookie、NTS Authenticator and Encrypted Extension Fields。若此前已经从该服务器收到过真实受保护响应，客户端还必须检查 Unique Identifier 是否匹配未决请求，否则丢弃。

收到 NTSN 也不立即启动昂贵循环。客户端等到下一次正常轮询；若仍没有有效受保护回复，再执行 NTS-KE，并限制重试速率。在新密钥建立成功前，旧轮询参数继续使用。

这是一项有意收窄的未认证恢复信号。它利用请求关联，延迟高成本动作，避免一次可伪造消息摧毁所有既有状态。不能据此声称所有 KoD 都被 NTS 认证。

注册表只协调词汇

RFC 5905 建立 IANA kiss code 注册表，避免不同规范给同一短码赋予冲突意义。2025 年的 RFC 9748 更新了规则：代码最长四个 ASCII 字符，不足部分以零字节补齐；X 前缀留作实验；新代码使用大写字母与数字，并按 Specification Required 审查。

注册解决的是共享词汇冲突，不是运行时信任。它不认证数据包，不检查产品实现，不批准具体访问策略，也不保证任何客户端采取动作。注册条目说明一个规范打算让代码表达什么；只有运行状态才能说明机器做了什么。

这种权力分布正是 KoD 的历史价值。IETF 与 IANA 维护线上共同语义；服务器决定何时回复或直接过滤；客户端保留未决状态、上限和替代来源；运营者保留不合作时的防护。协议没有因一次流量事故发明全球时间调度者。

BTW 已有的 NTP 历史长文讨论四时间戳、多源分歧和本地时钟驯服。本篇不重复那套校时机制。它从“服务器拒绝给出样本”开始，追踪一条意见怎样取得有限效力，又怎样在验证与执行之间失去效力。