⏳ NTP исполнилось 40 лет, но он все еще голый

На прошедшем FOSDEM 2026 подняли тему про базовый протокол всея интернета... про NTP. Спецификации уже больше сорока лет, на ней держится синхронизация абсолютно всей мировой инфраструктуры, но она до сих пор гоняет пакеты по UDP в абсолютно открытом виде, без какой-либо криптографии и проверки подлинности источника.

Казалось бы, кому в здравом уме нужно подделывать время? Но давайте вспомним, что происходит, когда часы на серверах разъезжаются хотя бы на пару минут... у кого-то моментально окирпичивается AD, отваливаются все токены двухфакторки, кластеры БД ловят расхождения и всякое другое. И чтобы устроить это корпоративное веселье, атакующему достаточно провести простейший перехват или UDP-спуфинг, подменив ответы от серверов времени ⌨️

Но решение проблемы давно существует. Еще в 2020 году инженеры IETF выпустили RFC 8915, описывающий стандарт NTS (Network Time Security). Там сначала по классическому TLS происходит обмен ключами, а затем сами пакеты точного времени защищаются через механизмы аутентифицированного шифрования (AEAD). Это полностью исключает возможность подмены времени в пути, сохраняя при этом миллисекундную точность. На конфе FOSDEM как раз и призывали начать массово внедрять этот стандарт.

Но за окном 2026 год, а стандарт NTS игнорируется чуть более чем везде. Потому что для его внедрения нужно заморачиваться с сертификатами, перенастраивать клиенты (тот же chrony или ntpsec) и переписывать правила на файрволах для новых портов. А у большинства всегда есть задачи поважнее, чем трогать то, что и так работает 🎩

Типичный 🥸 Сисадмин

Приоритеты расставлены 🦊

Типичный 🥸 Сисадмин

Пока веб-разработчики вешают сервера 50-мегабайтными JPEG, умные люди используют IIIF 😬

Специально для работы с тяжелым визуалом в вебе существует грамотный, но малоизвестный в широких IT-кругах стандарт IIIF (International Image Interoperability Framework)... ИИИФ 👨‍🦳

Это условный набор открытых API, которые превращают отдачу статических картинок в умный стриминговый сервис. Вместо того чтобы отдавать файл целиком, сервер по запросу формирует и отдает только нужные фрагменты в нужном разрешении. Это работает по принципу картографических сервисов. Можно взять оцифрованный чертеж или картину весом в десяток гигабайт, и пользователь в браузере сможет плавно зумить её вплоть до пикселей, расходуя минимум трафика и не насилуя устройства.

Еще стандарт позволяет бесшовно упаковывать множество изображений в единые презентации и пришивать к ним структурированные метаданные... копирайты, текстовые транскрипции, слои с аннотациями и библиографию. Его уже юзают некоторые университеты, библиотеки и цифровые архивы.

Единственный минус. "Сохранить изображение как..." больше не работает. Придется склеивать пазлы из тайлов, или делать скриншот, как завещали деды 🙅‍♂️

Типичный 🥸 Сисадмин

Ждун 80-го уровня 🌚

Самая большая боль в том, что этот единственный сид, у которого есть недостающие 256 Кб, комп включает раз в полгода по большим праздникам.

Типичный 🥸 Сисадмин

✈️ Сетевой разбор вчерашней атаки на инфраструктуру РКН и ГРЧЦ

В пятницу утром инфраструктура главных архитекторов суверенного рунета внезапно прилегла отдохнуть. Сайты РКН, Минобор и ГРЧЦ (это те самые ребята, которые физически рулят всеми ТСПУ в стране) попали под Дудос-атаку ⌨️

Заявленная мощность атаки = 33 Гбит/с. Для современного телекома и масштабов государства 33 гигабита довольно смешные цифры, такой объем канала сейчас генерирует средний ботнет из взломанных умных зубных щеток и кофеварок. Но вся суть атаки во второй метрике... 36,9 миллионов пакетов в секунду (Mpps). А это уже не кислый пакетный шторм, состоящий из микро-пакетов (скорее всего SYN-флуд или UDP-шторм). Именно высокий PPS убивает сетевое оборудование, т.к. у маршрутизаторов, экранов с контролем сессий и систем DPI просто заканчивается процессорное время на обработку прерываний и разбор заголовков. Канал может быть свободен на 90%, но железо наглухо отваливается от перегрузки CPU 🔥

Есть нюансы и в архитектуре защиты. ГРЧЦ годами заставляет провайдеров ставить ТСПУ, которые по задумке должны фильтровать любые угрозы на лету. Однако, когда 37 млн. пакетов взяли своё 🟢. В официальном заявлении сказано, что трафик пришлось экстренно отделять и направлять на сервера очистки. Получается, что ГРЧЦ пришлось искать внешний Anti-DDoS, потому что DPI захлебнулся от флуда? 🤔

Источниками мусора назвали солянку из IP-адресов РФ, США и Китая... стандартный зоопарк скомпрометированных домашних роутеров и умных домашних девайсов.

Типичный 🥸 Сисадмин