A Boston University kutatói több biztonsági rést találtak a számítógépek pontos időbeállítását segítő Network Time Protocol-ban (az NTP-ben), amelyek révén felfedhető a titkosított kommunikáció vagy bele lehet piszkálni a bitcoin tranzakciókba. A kutatók szerint rosszindulatú támadók a sérülékenységek kihasználásával elérhetik, hogy egy vállalat szerverei egyáltalán ne foglalkozzanak azzal, hogy éppen mennyi az idő. A NTP egy sebességkorlátozó mechanizmussal, az úgynevezett Kiss of Death (halál csókja) csomaggal rendelkezik, amely műszaki probléma esetén leállítja a számítógépek ismétlődő időlekéréseit. Miután ezt a csomagot elküldték, a számítógépek nem kérdeznek rá többet az időre akár napokon vagy éveken keresztül.
A bostoni kutatók megállapították, hogy a hackerek képesek lehetnek utánozni a "halál csókja" csomagot, melynek hatására úgy tűnik, hogy egy számítógéppel problémák vannak, miközben rendeltetésszerűen működik. A "halál csókja" sérülékenység megtalálásához a kutatóknak még csak nem is kellett a programkódot vizsgálniuk, elég volt elolvasniuk az NTP protokoll specifikációját, mondta el az amerikai PC Worldnek nyilatkozó Sharon Goldberg, a Boston University kutatócsoportjának tagja. A kutatók sejtése szerint egyetlen számítógéppel nagyszabású spoofing támadás kezdeményezhető hálózati szkennerekkel (nmap, zmap) felkutatott NTP ügyfelek ellen, amit részben az tesz lehetővé, hogy a legtöbb NTP kiszolgáló nem használ titkosítást az ügyfeleivel való kommunikáció során.
Goldberg elmondása szerint a kapcsolatok azért nem titkosítottak, mert az NTP nem rendelkezik olyan fejlett kulcscserélő protokollal, mint az SSL/TLS. A titkosító kulcsokat manuálisan kell beprogramozni az NTP eszközökbe, amivel a legtöbb szervezet nem foglalkozik.
Ha pedig egy számítógép órája kiesik a szinkronból, annak messze ható következményei lesznek. Ha az órát visszaállítják, akkor egy lejárt SSL/TLS tanúsítványt - amelynek a dekódoló kulcsával a hackerek rendelkeznek - is el lehet fogadtatni vele. A bitcoin kriptovaluta esetében pedig egy nem pontos óra azt okozhatja, hogy a bitcoin ügyfélszoftver visszautasítja a legális tranzakciót.
A hibajavítások időközben elkészültek, több fejlesztő, köztük a Cisco és a Red Hat már befoltozta NTP megvalósításait. A rendszeradminisztrátoroknak erősen ajánlott, hogy minél előbb telepítsék a javításokat. Goldberg szerint az NTP-t robosztusnak tekintik, ezért manapság kevés figyelmet kap. A legelterjedtebb, 4.1.1-es változata több mint 10 éves.
