Отключение NTP на OS X Lion или старше

После новой уязвимости в программном пакете Network Time Protocol компания Apple предоставила обновление программного обеспечения для Mountain Lion и более новых версий OS X.

Как обычно, более старые версии OS X, с которыми можно застрять (потому что оборудование не поддерживает более новые версии, потому что нужна Rosetta,…), не охватываются обновлением безопасности.

Мои вопросы:

• Достаточно ли отключения «установить дату и время автоматически» в настройках программного обеспечения, чтобы убедиться, что ntpd не запущен?

• что может сломаться, если бинарный файл ntdp был просто удален для безопасности на OS X Snow Leopard или Lion?

В сомнении я мог бы использовать эти инструкции, чтобы ограничить область действия ntpd, не отключая и не удаляя ее полностью, но в этом случае остается риск ошибиться и оставить ntpd открытым.

Достаточно ли отключения «установить дату и время автоматически» в настройках программного обеспечения, чтобы убедиться, что ntpd не запущен?

Да .

Вот способ застраховать себя от этого. Откройте окно Terminalили xtermокно.

Запустите следующую команду:

ps ax | grep ntp

и обратите внимание, что у вас ntpdзапущен процесс.

Откройте System Preferencesи выключитеSet date and time automatically:

С помощью psприведенной выше команды проверьте, что у вас нет ntpdзапущенного процесса.

В сомнении я мог бы использовать эти инструкции, чтобы ограничить область

Нет .

Этот рецепт заставит вас бежать ntpdи, следовательно, подвергнуться атаке.

Вместо того, чтобы отключать ntpd, вы должны скачать исходный код для версии 4.2.8 ntp и скомпилировать его самостоятельно. Все, что вам нужно, это Xcode для Lion / SnowLeo. Он должен работать на 10.6.x и 10.7.x просто отлично.

Я обновил свою версию 10.10 сразу после публикации CVE и публикации исходного кода, и я не стал ждать, пока Apple выпустит обновление.

Чтобы скомпилировать ntpd, загрузите исходный код с ntp.org и примените патч для OS X / FreeBSD. После применения этого патча вы сможете просто запустить "./configure && make." Затем вы можете скопировать двоичные файлы в соответствующие каталоги (/ usr / sbin / и / usr / bin /).

Для Mac OS X 10.7 (Lion):

mkdir ntpd-fix
cd ntpd-fix
curl http://www.eecis.udel.edu/~ntp/ntp_spool/ntp4/ntp-4.2/ntp-4.2.8.tar.gz | tar zxf -
cd ntp-4.2.8/ntpd
curl http://bugs.ntp.org/attachment.cgi?id=1165 | patch -p1
cd ..
./configure && make

Вот список файлов и папок, к которым они принадлежат, которые будут построены из приведенного выше источника. После компиляции все эти файлы будут находиться в разных подпапках.

/usr/bin/sntp  
/usr/bin/ntp-keygen  
/usr/bin/ntpq  
/usr/sbin/ntpdc  
/usr/sbin/ntpdate  
/usr/sbin/ntpd

Переименуйте старые, используя что-то вроде:

sudo mv /usr/sbin/ntpd /usr/sbin/ntpd.old

и затем переместите новый внутрь. Убедитесь, что файлы разбиты на части после перемещения их на место:

sudo chown root:wheel /usr/sbin/ntpd

Примечание : я не использовал, sudo make installпотому что не доверял Makefile (я не был уверен, что он поместит файлы в те же папки, в которые Apple их изначально поместила, и хотел убедиться, что они все еще находятся в том же месте, что и старые из них). Перемещение 6 файлов вручную не является большой проблемой. Остальные файлы (man-страницы, html-страницы и т. Д. Одинаковы, поэтому вам не нужно их перемещать.)

1. Я не копался в документации о нарушении в деталях. Обычно ntp делает периодические запросы к серверам, чтобы получить исправление. Как только дрейф местных часов установлен, эти запросы не часты.

2. Большинство брандмауэров настроены на игнорирование пакетов запросов извне. Ntp, я думаю, использует UDP, который номинально не имеет состояния. Обычно брандмауэр пропускает UDP-пакет в течение небольшого промежутка времени после того, как UDP-пакет вышел. Обратный пакет должен быть с правильного IP и иметь правильный порт. Черная шляпа должна была бы либо подорвать ваш DNS-сервер, либо подорвать ваш NTP-сервер.

Так может ли кто-нибудь объяснить, как эта угроза фактически вводится в игру, если предположить, что этот человек не указывает pool.ntp.org в качестве своего ntp-сервера?

Пути вокруг этого:

1. Сборка из источника - выше.
2. Используйте порты Mac. Это делает установку довольно безболезненной, хотя первоначальная сборка займет значительное время и достаточно много места. Дополнительная информация https://www.macports.org/

Вы также можете использовать Fink или Homebrew таким образом, но MacPorts кажется менее зависимым от Apple OS, поэтому в долгосрочной перспективе для более старой системы, я подозреваю, будет меньше боли.

3. Настройте незащищенный компьютер как локальный ntp-сервер. Укажите уязвимые машины на сервер ntp. В вашем брандмауэре блокируйте и исходящие, и входящие для ntp для всех, кроме машины ntpserver. Когда я запускал локальную школьную сеть, у меня была одна машина (freebsd), которая выполняла множество сетевых сервисов, включая ntp. Затем он будет транслировать один пакет ntp каждые 64 секунды.