19.6. NTP 验证选项

NTPv4 NTPv4 添加了对自动密钥安全架构的支持，该架构基于公共非对称加密，同时保留对称密钥加密的支持。 RFC 5906 网络时间协议版本 4 中描述了 Autokey 协议：自动密钥规范。不幸的是，之后发现该协议存在严重的安全问题，因此红帽强烈推荐使用对称密钥。ntp_auth(5) man page 描述了 ntpd 的身份验证选项和命令。

网络上的攻击者可以通过发送带有不正确时间信息的 NTP 数据包来尝试中断服务。在使用 NTP 服务器公共池的系统上，通过 /etc/ntp.conf 中的公共 NTP 服务器列表中有超过三个 NTP 服务器，可以降低风险。如果只有一个时间源被入侵或欺骗，ntp d 将忽略该源。您应该进行风险评估，并考虑错误时间对应用程序和组织的影响。如果您有内部时间源，您应该考虑保护 NTP 数据包所分发的网络的步骤。如果您进行风险评估并总结风险可以接受，并且对应用程序的影响降至最低，那么您可以选择不使用身份验证。

默认情况下，广播和多播模式需要进行身份验证。如果您决定信任网络，那么您可以通过在 ntp.conf 文件中 禁用 auth 指令来禁用 身份验证。或者，身份验证需要使用 SHA1 或 MD5 对称密钥进行配置，或者通过使用 Autokey 方案配置公钥（对称）密钥加密。ntp_auth(8)man page 中解释了非对称加密的自动密钥方案，并在 ntp-keygen(8)中解释了密钥的生成。要实施对称密钥加密，请参阅 第 19.17.12 节 “使用密钥配置对称身份验证” 了解 密钥 选项的说明。