Roughtime: imzalı zaman

Roughtime, bir sunucudan imzalı zaman almak için tasarlanmış bir ağ protokolüdür. İstemci rastgele bir değer gönderir; sunucu o anki zamanı, zamanın hata payını ve istemcinin gönderdiği değeri birlikte Ed25519 ile imzalayıp geri yollar. İstemci imzayı sunucunun önceden bildiği açık anahtarıyla doğrular. Böylece cevabın gerçekten o sunucudan geldiği, yolda değiştirilmediği ve isteğinizden sonra üretildiği kanıtlanmış olur.

Protokolü Google başlattı; Cloudflare ve Netnod geliştirdi. Bugün IETF NTP çalışma grubunun draft-ietf-ntp-roughtime taslağıyla standartlaşıyor. Adındaki "rough" (kaba) kelimesi çözünürlüğü anlatır: zaman saniye düzeyindedir, ama güvenilirliği yüksektir.

Başlıca dört amaç için:

• Saati hiç bilmeyen cihaza güvenli başlangıç saati vermek. Pili bitmiş, RTC'si olmayan ya da uzun süre kapalı kalmış bir cihaz TLS sertifikalarını doğrulayamaz; Roughtime'ın ise önceden doğru saate ihtiyacı yoktur.
• NTS'yi başlatmak. NTS'nin anahtar değişimi TLS kullandığı için önce kabaca doğru saat gerekir. Roughtime bu ilk adımı güvenli yapar.
• Zaman sunucularını denetlemek. Birden fazla sunucuyu zincirleme sorgulayarak yanlış saat veren bir sunucuyu yakalamak ve bunu imzalı kanıtla göstermek.
• Kanıt üretmek. Bir dosyanın, günlük kaydının ya da olay kaydının belirli bir saniyeden önce var olduğunu, sonradan internete bağlanmadan doğrulanabilen şekilde göstermek.

Hayır, ikisi farklı işler yapar. NTP saatinizi milisaniye hatta mikrosaniye düzeyinde sürekli ayarlı tutar. Roughtime ise saniye çözünürlüğünde, ama her cevabı imzalı olan bir "şu an saat kaç" sorusudur. Tipik kullanım ikisini birlikte çalıştırmaktır: cihaz açılırken Roughtime ile kabaca doğru ve doğrulanmış bir saat alır, sonra NTS ile korunan NTP'ye geçer. Taslağın 6. bölümü bu birlikteliği anlatır.

Standart böyle tanımlıyor: zaman (MIDP) tam saniye olarak gönderilir, yarıçap (RADI) da saniye cinsindendir ve sıfır olamaz. Amaç hassasiyet değil, doğrulanabilirlik. Sertifika geçerliliğini kontrol etmek, bir kaydın hangi gün ve saatte var olduğunu göstermek ya da yanlış saat veren bir sunucuyu yakalamak için bir saniye fazlasıyla yeterlidir. Hassas zaman gerekiyorsa aynı sunucunun NTS hizmetini kullanın.

İstek içindeki rastgele değeri (nonce) dosyanın özetinden türetirsiniz. Sunucu bu değeri zamanla birlikte imzaladığı için, imzalı cevap "bu özet, şu saniyeden önce vardı" demenin kriptografik kanıtı olur. roughtime-stamp aracı bunu üç bağımsız işletmeciyle iki tur yaparak otomatik yapar ve sonradan internete bağlanmadan doğrulanabilen küçük bir kanıt dosyası üretir. Komutlar belge damgalama bölümünde.

Bu yöntem taslakta tanımlı bir özellik değil, protokolün üzerine kurulan bir uygulama desenidir. Kanıt yalnızca üst sınırı gösterir: dosyanın o andan önce var olduğunu, sonra değiştirilmediğini. Ne zaman oluşturulduğunu göstermez.

Nonce, istemcinin her istekte ürettiği 32 baytlık tek kullanımlık rastgele değerdir. Sunucu bu değeri cevabın imzalı kısmına dahil eder. Değer önceden tahmin edilemediği için, imzalı cevabın isteğinizden önce hazırlanmış olması imkânsızdır: eski bir cevabı tekrar oynatan (replay) saldırgan, sizin ürettiğiniz nonce'u bilemez.

Nonce'u rastgele değil de bir verinin özetinden türetirseniz, aynı mantık tersine çalışır: bu kez verinin cevaptan önce var olduğu kanıtlanır. Belge damgalama bu fikre dayanır.

Sunucunun gönderdiği zaman (MIDP) tek başına bir nokta değil, bir aralığın ortasıdır. Yarıçap bu aralığın yarı genişliğidir: sunucu "gerçek zaman MIDP − RADI ile MIDP + RADI arasındadır" diye taahhüt eder ve bunu imzalar. Standarda göre yarıçap saniye cinsindendir ve sıfır olamaz.

Bizim sunucumuzda yarıçap elle yazılmış sabit bir değer değildir; işletim sisteminin saat için tuttuğu azami hata değerinden hesaplanır. GPS kilitliyken bu 1 saniyedir. Saat senkron dışı kalırsa yarıçap kendiliğinden büyür.

Ed25519 imzası hızlıdır ama saniyede binlerce isteğin her birini ayrı ayrı imzalamak yine de işlemci harcar. Sunucu bu yüzden aynı anda gelen istekleri bir Merkle ağacının yapraklarına koyar, ağacın kökünü zamanla birlikte bir kez imzalar ve her istemciye kendi yaprağından köke giden yolu gönderir. İstemci bu yolu kullanarak kendi nonce'unun imzalı köke bağlı olduğunu doğrular. Tek imza yüzlerce isteği kapsar; güvenlik azalmaz.

Sunucunun kimliği uzun dönemli bir anahtarla tanımlanır; istemciler yalnızca bunun açık anahtarını bilir. Bu anahtarın her cevabı imzalamak için internete açık bir makinede durması risklidir. Bu yüzden uzun dönemli anahtar, kısa ömürlü bir çevrimiçi anahtarı belli bir tarih aralığı (MINT–MAXT) için yetkilendiren bir sertifika imzalar. Cevapları çevrimiçi anahtar imzalar, sertifika da her cevapla birlikte gönderilir.

Bizim kök anahtarımız çevrimdışı saklanıyor; sunucudaki delegasyon bir yıl geçerli ve her yıl yenileniyor. Ayrıntı anahtar yönetimi bölümünde.

İstemci en az üç sunucuyu sırayla sorgular ve her sorgunun nonce'unu bir önceki cevabın özetinden türetir. Böylece cevaplar arasında kriptografik bir sıra oluşur: ikinci cevap, birinci cevaptan sonra üretilmiş olmak zorundadır. Sonra gelen bir cevabın zaman aralığı, önce gelen cevabınkinden tamamen öncedeyse iki sunucudan biri yanlış söylüyordur.

Bu durumda elinizdeki imzalı cevap zinciri, çelişkinin herkesçe doğrulanabilir kanıtıdır. Taslak bunu "malfeasance report" adıyla standart bir JSON biçiminde raporlamayı tanımlar.

UDP tek gidiş-dönüşte biter, bağlantı durumu tutmaz ve saati bilmeyen bir cihazın bile kullanabileceği kadar basittir. UDP'nin bilinen riski, kaynak adresi sahte paketlerle sunucunun başkasına büyük cevaplar yollatılmasıdır (yansıtma saldırısı). Roughtime bunu yapısal olarak engeller: istemci isteğini en az 1024 bayta doldurur ve sunucu istekten büyük cevap göndermez. Daha kısa istekler yanıtsız bırakılır. Taslak TCP'yi de tanımlar; sunucumuz şimdilik yalnızca UDP konuşur.

Taslak henüz RFC olmadığı için IANA Roughtime'a resmi bir port atamadı. Topluluk yıllardır 2002/udp kullanıyor; Netnod, roughtime.se, Time.nl ve diğer sunucuların çoğu bu portta. Standart yayımlanıp port atanırsa yeni portu da açacağız ve 2002'yi bir süre paralel tutacağız.

Bugün için hayır. Kullandığımız chrony 4.8 dahil yaygın NTP istemcilerinde yerleşik Roughtime desteği yok. Roughtime'ı ayrı bir istemciyle kullanırsınız: Go ya da Python istemcileri ile saati kontrol edebilir, belge damgalayabilir ya da açılış betiğinizde NTS'den önce bir doğrulama adımı olarak çalıştırabilirsiniz. Saatin sürekli ayarlı tutulması için NTP/NTS kullanmaya devam edin.

Değil. Taslak da bunu açıkça yazar: yeterince büyük bir kuantum bilgisayar Ed25519 imzalarını kırabilir ve o gün geldiğinde protokolün yeni bir sürümü gerekecek. Deneysel olarak kuantum sonrası imza (ML-DSA-44) destekleyen uygulamalar var, ama bu henüz standardın parçası değil ve biz sunmuyoruz. Bugün için Ed25519 güvenli kabul edilir.

Tek bir sunucu yanlış saat verirse, imzası geçerli olduğu sürece bunu ondan başka bir kaynak olmadan fark edemezsiniz. İki sunucu çelişirse hangisinin haklı olduğunu bilemezsiniz. Üç ve daha fazla farklı kurumun işlettiği sunucuyla hem çoğunluğun ne dediğini görürsünüz hem de yalan söyleyeni imzalı zincirle ispatlarsınız. Taslak bu yüzden istemcilerden en az üç bağımsız sunucu kullanmalarını ister.

Hayır. Türkiye'de 5070 sayılı Elektronik İmza Kanunu kapsamındaki nitelikli zaman damgası, Bilgi Teknolojileri ve İletişim Kurumu'nun yetkilendirdiği elektronik sertifika hizmet sağlayıcılarınca verilir; biz bu kapsamda değiliz. Roughtime cevapları teknik bir kanıttır: herkesin açık anahtarla bağımsız olarak doğrulayabileceği, birden fazla işletmeciyle çapraz kontrol edilebilen bir kayıt. Denetim, olay incelemesi ve sistemlerin kendi aralarında zaman tutarlılığını göstermek için uygundur; yasal bir işlemin yerine geçmez.

Cevapladığımız her istek için: zaman, kaynak IP adresi ve portu, isteğin nonce değeri, gönderdiğimiz zaman ve yarıçap, istek boyu, Merkle ağacındaki sıra ve ağacın kökü. Bu kayıtlar 365 gün saklanır, sonra otomatik silinir. Yayınlanmaz ve yasal zorunluluk dışında kimseyle paylaşılmaz. Dakikalık toplam sayılar (kaç istek geldi, kaçı geçersizdi) süresiz tutulur.

Neden tutuyoruz: kötüye kullanımı görebilmek ve bir kanıtın gerçekten bu sunucudan çıktığı sorulduğunda kendi kaydımızla teyit edebilmek için. Belge damgalarken nonce, belgenin özetinden türediği için özet de bu kayda girer; hassas içerikte tuzlu özet kullanın.

Geçerliliğini korur. Kanıtlar uzun dönemli açık anahtarla doğrulanır ve kullandığımız her açık anahtar bu sayfada, kullanım tarihleriyle birlikte kalıcı olarak listelenir. Yıllık delegasyon yenilemesi açık anahtarı değiştirmez. Kök anahtarın ele geçirildiğinden şüphelenirsek bunu bu sayfada ve sunucu listesinde duyurur, şüphelenilen tarih aralığını açıkça yazarız.

Ücretsizdir, kayıt gerektirmez. Bir cihazın saatini ayarlamak için açılışta ve sonra birkaç saatte bir sorgu yeterlidir; dakikada birden sık sorguya gerek yoktur. Protokol yapısı gereği cevap istekten büyük olamaz, bu yüzden sunucu yansıtma saldırılarında güçlendirici olarak kullanılamaz.