Network Time Foundationは4月6日(米国時間)、「Outdated Versions of NTP Leaving Users Vulnerable - Network Time Foundation」において、NTPデーモンのバージョン4が公開されてからすでに10年以上が経過しているにもかかわらず、依然としてNTPバージョン3が使われていると伝えた。こうした古いバージョンのNTPを使い続けることはセキュリティ上好ましくないとしており、新しいバージョンを使うように推奨している。
2016年に公開されたNational Institutes of Science and Technology(NIST)のインターネットサービスの利用状況を調べた報告書によると、NTPのversion 3を利用しているクライアントが50.32%と半数を超えていることがわかったという。
|
資料NISTのInternet Time ServiceにおけるNTPの利用状況:Usage Analysis of the NIST Internet Time Service |
古いバージョンのNTPが使われ続けている理由としては、ルータなどで使われているNTPのバージョンが古いままになっていることが挙げられている。ファームウェアのアップデートなどによってNTPをバージョンアップすることが可能なケースもあるが、多くのケースで購入時のまま使われており、アップデートが実施されていないのではないかと説明がある。
NTPはインターネットに接続するマシンが精確な時刻を維持するために利用されるプロトコルで、さまざまなシーンで活用されている。NTPのバージョン3は2014年に分散サービス妨害攻撃(DDoS攻撃)が実施されたことで脆弱性が広く認識されるようになった。NTPを利用した分散サービス妨害攻撃はISPが対策を実施したことから軽減しているが、NTPデーモンの古い実装にはそれ以外の脆弱性も見つかっており注意が必要。
