Poort 123: NTP-poort voor tijdsynchronisatie

Via poort 123 synchroniseren computers hun systeemklok met een tijdserver. Een nauwkeurige tijd is belangrijker dan je misschien denkt: TLS-certificaten, Kerberos, logbestanden, cronjobs en gedistribueerde databases zijn ervan afhankelijk dat alle systemen dezelfde tijd hebben. Clients zoals chrony, ntpd of systemd-timesyncd doen aanvragen bij een of meer tijdservers en corrigeren de lokale klok geleidelijk. De tijdserver beantwoordt deze aanvragen op poort 123.

NTP is ontwikkeld door David L. Mills aan de University of Delaware en is een van de oudste internetprotocollen die nog actief worden gebruikt. De huidige versie, NTPv4, is beschreven in RFC 5905. De IANA heeft poort 123 officieel toegewezen aan de dienst ‘ntp’. Daarmee valt deze binnen het bereik van de bekende poorten van 0 tot 1023. SNTP is een vereenvoudigde variant zonder de complexe filteralgoritmen en gebruikt eveneens poort 123.

• Tijdsynchronisatie van Linux- en Windows-servers met openbare tijdservers
• Eigen interne tijdserver waarmee alle systemen op het netwerk hun klok synchroniseren
• Basis voor geldige TLS-certificaten, Kerberos-tickets en consistente logbestanden
• Gesynchroniseerde tijd voor clusters, databasereplicatie en monitoring

Je hebt een inkomende poort 123 alleen nodig als je server zelf als openbare NTP-server moet werken. Een gewone server die alleen zijn klok synchroniseert, is een client en heeft geen inkomende regel nodig: de firewall laat antwoorden op zijn verzoeken door als onderdeel van de verbinding. Open, verkeerd geconfigureerde NTP-servers zijn op grote schaal misbruikt voor versterkingsaanvallen: met de oude opdracht monlist (CVE-2013-5211) leidde een klein vervalst verzoek tot een zeer groot antwoord aan het slachtoffer. Beheer je een NTP-server, houd de software dan actueel, schakel verzoeken zoals monlist uit en sta verzoeken bij voorkeur alleen toe vanuit je eigen netwerken.