NTP 作为最古老仍在广泛使用的互联网协议，缺乏加密、认证与完整性保护，导致系统时间极易被中间人篡改；DNSSEC、Kerberos、TLS 等关键协议均依赖准确系统时间。Network Time Security (NTS) 为 NTP 增加了认证与加密，可有效抵御此类攻击。
**NTP 固有缺陷与攻击面：**
NTP 通信全程明文，客户端与服务端之间无任何身份验证机制。攻击者只需处于能够窃听并修改网络流量的位置，即可实施中间人攻击：篡改服务端响应中的时间戳、延迟或丢弃 NTP 数据包，使客户端无法继续同步。原文指出，此类攻击可导致系统时间发生剧烈跳变，进而破坏依赖时间校验的安全协议。原文未给出具体攻击成功率或影响范围数据。
**实战演示：ARP 欺骗篡改时间：**
演示环境包含三方：Bob (192.168.144.130) 运行 Chrony 并同步 NTP Pool Project 的四台时间服务器；Mallory (192.168.144.129) 作为攻击者；网关为 192.168.244.2。攻击前 `timedatectl` 显示系统时钟已同步。Mallory 使用 Davide Bove 编写的 `ntpspoof.py` 脚本（需微调，已提供 Fork 版本），在 `eth0` 接口上对目标 192.168.244.130 发起 ARP 欺骗，脚本自动拦截并修改所有经过的 NTP 数据包，实时演示了时间被篡改的全过程。原文未给出攻击持续时间或时间偏移量的具体数值。
**加固措施与 NTS 协议防护：**
在部署 NTS 之前，可通过配置 Chrony 等客户端限制最大时间跳变阈值、启用多源交叉验证等方式，缓解突发时间跳变的冲击。NTS 作为 NTP 扩展，在握手阶段使用 TLS 建立密钥，后续 NTP 数据包携带加密认证字段，确保时间数据的来源真实性与完整性，从根本上阻断中间人篡改路径。原文未给出 NTS 部署的性能开销或兼容性测试数据。
对运维与网络工程师而言，首要任务是排查现网 NTP 服务是否裸奔，评估时间同步链路的可信度；其次应在支持 NTS 的客户端（如 Chrony 4.0+）与公共 NTS 服务器（如 Cloudflare、Netnod）之间启用 NTS，并在防火墙策略中放行 NTS-KE (TCP/4460) 与 NTS (UDP/123) 流量，彻底消除明文时间同步带来的隐患。
原文: APNIC Blog（2022-12-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog