ntp-keygen(1) User Commands ntp-keygen(1)

ntp-keygen - ایجاد کلید میزبان NTP

ntp-keygen [-flags] [-flag [value]] [--option-name[[=| ]value]]

تمام آرگومان‌ها باید گزینه باشند.

این برنامه فایل‌های داده‌های رمزنگاری مورد استفاده در طرح‌های احراز اصالت و شناسایی NTPv4 را تولید می‌کند. این ابزار می‌تواند کلیدهای خلاصه پیام مورد استفاده در رمزنگاری کلید متقارن را تولید کرده و چنانچه کتابخانه نرم‌افزاری OpenSSL نصب شده باشد، می‌تواند کلیدهای میزبان، کلیدهای امضا، گواهی‌ها و کلیدها و پارامترهای هویتی مورد استفاده در رمزنگاری کلید عمومی Autokey را نیز ایجاد کند. این فایل‌ها برای رمزنگاری کوکی، امضای دیجیتال و الگوریتم‌های شناسایی چالش/پاسخ (challenge/response) سازگار با زیرساخت امنیتی استاندارد اینترنت به کار می‌روند.

فایل کلیدهای متقارن خلاصه پیام در قالبی سازگار با NTPv3 تولید می‌شود. تمامی فایل‌های دیگر در قالب ASCII قابل چاپ با کدگذاری PEM هستند، بنابراین می‌توان آن‌ها را به عنوان پیوست‌های MIME در رایانامه‌ها به سایر سایت‌ها و مرجع‌های صدور گواهی ارسال کرد. به‌طور پیش‌فرض، فایل‌ها رمزنگاری نمی‌شوند.

هنگامی که از این برنامه برای تولید کلیدهای متقارن خلاصه پیام استفاده می‌شود، فایلی شامل ده رشته شبه‌تصادفی ASCII و قابل چاپ تولید می‌کند که برای الگوریتم خلاصه پیام MD5 ارائه‌شده در این توزیع مناسب است. اگر کتابخانه OpenSSL نصب باشد، ده رشته بیتی تصادفی کدگذاری‌شده با هگزادسیمال اضافه نیز تولید می‌کند که برای SHA1، AES-128-CMAC و سایر الگوریتم‌های خلاصه پیام مناسب هستند. فایل کلیدهای متقارن خلاصه پیام باید از طریق روش‌های امن که فراتر از حیطه خود NTP است، توزیع و ذخیره شود. علاوه بر کلیدهای مورد استفاده برای پیوندهای عادی NTP، می‌توان کلیدهای دیگری را نیز به عنوان گذرواژه برای برنامه‌های کاربردی ntpq(1) و ntpdc(1) تعریف کرد.

باقی فایل‌های تولیدشده با سایر برنامه‌های کاربردی OpenSSL و دیگر منابع زیرساخت کلید عمومی (PKI) سازگار هستند. گواهی‌های تولیدشده توسط این برنامه با شیوه‌های مرسوم در صنعت سازگارند، اگرچه ممکن است برخی از کاربران تفسیر فیلدهای الحاقی X509v3 را تا حدی آزادانه تلقی کنند. با این حال، کلیدهای هویتی احتمالاً با هیچ چیزی به جز Autokey سازگار نیستند.

برخی از فایل‌های مورد استفاده توسط این برنامه با استفاده از یک گذرواژه خصوصی رمزنگاری می‌شوند. گزینه -p گذرواژه خواندن برای فایل‌های رمزنگاری‌شده محلی، و گزینه -q گذرواژه نوشتن برای فایل‌های رمزنگاری‌شده ارسال‌شده به سایت‌های راه دور را مشخص می‌کند. اگر هیچ گذرواژه‌ای تعیین نشود، جهت راحتی، نام میزبانی که توسط دستور یونیکس hostname(1) برگردانده می‌شود (که معمولاً همان نام DNS میزبان است) به عنوان گذرواژه پیش‌فرض خواندن استفاده خواهد شد. اگر برنامه ntp-keygen یک فایل رمزنگاری‌شده را بخواند و گذرواژه مشخص نشده یا نادرست باشد، برای دریافت گذرواژه اعلان نمایش می‌دهد. اگر یک فایل رمزنگاری‌شده با موفقیت خوانده شود و گذرواژه نوشتنی مشخص نشده باشد، گذرواژه خواندن به‌طور پیش‌فرض به عنوان گذرواژه نوشتن در نظر گرفته می‌شود.

گزینه pw از دستور پیکربندی crypto در ntpd(1) گذرواژه خواندن را برای فایل‌های محلی که از قبل رمزنگاری شده‌اند تعیین می‌کند. این گذرواژه باید با گذرواژه خواندن محلی مورد استفاده توسط این برنامه مطابقت داشته باشد. در صورت عدم تعیین، از نام میزبان استفاده می‌شود. بنابراین، اگر فایل‌ها توسط این برنامه بدون یک گذرواژه صریح تولید شوند، می‌توان آن‌ها را توسط ntpd(1) بدون مشخص کردن گذرواژه صریح، اما فقط روی همان میزبان، مجدداً خواند. اگر گذرواژه نوشتنِ استفاده‌شده برای رمزنگاری همان نام میزبان تعیین شود، این فایل‌ها می‌توانند توسط آن میزبان بدون گذرواژه صریح خوانده شوند.

به‌طور معمول، فایل‌های رمزنگاری‌شده برای هر میزبان توسط همان میزبان تولید شده و تنها توسط همان میزبان استفاده می‌شوند، اگرچه همان‌طور که در ادامه این صفحه ذکر شده است، استثنائاتی وجود دارد. فایل کلیدهای متقارن، که معمولاً ntp.keys نام دارد، بیشتر در /etc قرار می‌گیرد. سایر فایل‌ها و پیوندها معمولاً در /usr/local/etc نصب می‌شوند که در شبکه‌های متصل به NFS اغلب در یک سیستم‌فایل اشتراکی قرار دارد و کلاینت‌های اشتراکی نمی‌توانند آن را تغییر دهند. در این موارد، کلاینت‌های NFS می‌توانند فایل‌ها را در دایرکتوری دیگری مانند /etc با استفاده از دستور keysdir در فایل پیکربندی ntpd(1) مشخص کنند.

این برنامه توضیحات و پیام‌های خطا را به جریان خطای استاندارد stderr و فایل‌های راه دور را به جریان خروجی استاندارد stdout هدایت می‌کند، جایی که می‌توان آن‌ها را به برنامه‌های دیگر لوله‌کشی (pipe) کرد یا به فایل‌ها تغییر مسیر (redirect) داد. نام‌های استفاده‌شده برای فایل‌ها و پیوندهای تولیدشده همگی با رشته ntpkey* آغاز شده و شامل نوع فایل، میزبان تولیدکننده و برچسب زمانی فایل هستند، همان‌طور که در بخش Cryptographic Data Files در ادامه توضیح داده شده است..SS "اجرای برنامه (Running the Program)" امن‌ترین روش برای اجرای برنامهٔ ntp-keygen ورود مستقیم به عنوان ریشه (root) است. روش توصیه‌شده، رفتن به پوشهٔ keys (معمولاً /usr/local/etc) و سپس اجرای برنامه است.

برای آزمایش و کسب تجربه در مفاهیم Autokey، به عنوان ریشه وارد شوید و به پوشهٔ keys (معمولاً /usr/local/etc) بروید. هنگامی که برای نخستین بار اجرا می‌شود، یا اگر تمام فایل‌هایی که نامشان با ntpkey* آغاز می‌شود حذف شده باشند، از دستور ntp-keygen بدون آرگومان استفاده کنید تا یک کلید میزبان RSA پیش‌فرض و فایل گواهی RSA-MD5 منطبق با آن، با تاریخ انقضای یک سال بعد تولید کند؛ این مورد در بسیاری از شرایط تنها چیزی است که نیاز خواهد بود. این برنامه همچنین پیوندهای نرمی از نام‌های عمومی به فایل‌های مربوطه ایجاد می‌کند. اگر دوباره بدون هیچ گزینه‌ای اجرا شود، برنامه از کلیدها و پارامترهای موجود استفاده کرده و یک فایل گواهی جدید با تاریخ انقضای جدید یک سال بعد و پیوند نرم تولید می‌کند.

کلید میزبان در صورت نیاز برای رمزگذاری کوکی استفاده می‌شود و بنابراین باید از نوع RSA باشد. به‌طور پیش‌فرض، کلید میزبان همان کلید امضا نیز هست که برای رمزگذاری امضاها به کار می‌رود. در صورت لزوم، می‌توان یک کلید امضای متفاوت مشخص کرد که می‌تواند از نوع RSA یا DSA باشد. به‌طور پیش‌فرض، نوع خلاصهٔ پیام (message digest) برابر MD5 است، اما هر ترکیبی از نوع کلید امضا و نوع خلاصهٔ پیام که توسط کتابخانهٔ OpenSSL پشتیبانی شود را می‌توان مشخص کرد، از جمله مواردی که از الگوریتم‌های خلاصهٔ پیام AES128CMAC، MD2، MD5، MDC2، SHA، SHA1 و RIPE160 استفاده می‌کنند. با این حال، طرح (scheme) مشخص‌شده در گواهی باید با کلید امضا سازگار باشد. گواهی‌هایی که از هر الگوریتم خلاصه‌سازی استفاده می‌کنند با کلیدهای امضای RSA سازگار هستند؛ اما تنها گواهی‌های SHA و SHA1 با کلیدهای امضای DSA سازگار می‌باشند.

فایل‌های کلید خصوصی/عمومی و گواهی‌ها با سایر برنامه‌های OpenSSL و به احتمال زیاد با سایر کتابخانه‌ها نیز سازگار هستند. گواهی‌ها یا درخواست‌های گواهی برگرفته از آن‌ها باید با روال‌های رایج در صنعت سازگار باشند، گرچه ممکن است برخی کاربران تفسیر فیلدهای الحاقی X509v3 را تا حدی باز و آزادانه بدانند. با این حال، فایل‌های پارامترهای شناسایی، هرچند مانند فایل‌های دیگر کُدگذاری شده‌اند، احتمالاً با چیزی جز Autokey سازگار نیستند.

اجرای برنامه با کاربری غیر از ریشه و استفاده از دستور یونیکس su(1) برای تغییر به کاربر ریشه ممکن است به‌درستی عمل نکند، زیرا به‌طور پیش‌فرض کتابخانهٔ OpenSSL به دنبال فایل بذر تصادفی (random seed) .rnd در پوشهٔ خانگی کاربر می‌گردد. با این حال، باید تنها یک فایل .rnd وجود داشته باشد، که مناسب‌ترین مکان برای آن در پوشهٔ ریشه است؛ بنابراین بهتر است متغیر محیطی RANDFILE که توسط کتابخانهٔ OpenSSL استفاده می‌شود، به مسیر .rnd تعریف شود.

نصب کلیدها به عنوان ریشه ممکن است در سیستم‌های فایل اشتراکیِ سوارشده از طریق NFS کار نکند، چرا که کلاینت‌های NFS ممکن است حتی در نقش کاربر ریشه هم اجازهٔ نوشتن در پوشهٔ کلیدهای اشتراکی را نداشته باشند. در این حالت، کلاینت‌های NFS می‌توانند فایل‌ها را در پوشهٔ دیگری مانند /etc با استفاده از دستور keysdir در فایل پیکربندی ntpd(1) مشخص کنند. هیچ نیازی نیست که یک کلاینت، کلیدها و گواهی‌های سایر کلاینت‌ها یا سرورها را بخواند، زیرا این داده‌ها به‌طور خودکار توسط پروتکل Autokey دریافت می‌شوند.

معمولاً فایل‌های رمزنگاری توسط همان میزبانی که از آن‌ها استفاده می‌کند تولید می‌شوند، اما این امکان نیز وجود دارد که یک نمایندهٔ مورد اعتماد (TA) این فایل‌ها را برای سایر میزبان‌ها تولید کند؛ با این حال، در چنین مواردی فایل‌ها باید همیشه رمزگذاری شوند. نام موضوع (subject name) و نام مورد اعتماد (trusted name) به‌طور پیش‌فرض برابر با hostname میزبانی است که فایل‌ها را تولید می‌کند، اما می‌توان آن‌ها را با گزینه‌های خط فرمان تغییر داد. مناسب است که نام مالک و نام مورد اعتماد را به ترتیب برای فیلدهای subject و issuer گواهی تعیین کنید. همچنین از نام مالک برای فایل‌های کلید میزبان و امضا، و از نام مورد اعتماد برای فایل‌های هویت استفاده می‌شود.

تمام فایل‌ها به‌طور پیش‌فرض در پوشهٔ کلیدهای /usr/local/etc نصب می‌شوند، که در شبکه‌های متصل به NFS معمولاً در یک سیستم‌فایل اشتراکی قرار دارد. مکان واقعی پوشهٔ کلیدها و هر یک از فایل‌ها را می‌توان با دستورات پیکربندی بازنویسی کرد، اما این کار توصیه نمی‌شود. به‌طور معمول، فایل‌های مربوط به هر میزبان توسط همان میزبان تولید شده و تنها توسط همان میزبان استفاده می‌شوند، اگرچه استثناهایی نیز وجود دارد که در ادامهٔ این صفحه به آن‌ها اشاره شده است.

به‌طور معمول، فایل‌های حاوی مقادیر خصوصی، از جمله کلید میزبان، کلید امضا و پارامترهای شناسایی، فقط دسترسی خواندن/نوشتن برای کاربر ریشه دارند؛ در حالی که سایر فایل‌های حاوی مقادیر عمومی برای همگان خواندنی هستند. از طرف دیگر، فایل‌های حاوی مقادیر خصوصی را می‌توان رمزگذاری کرد و به این فایل‌ها مجوز خواندن همگانی داد، که این امر نگهداری در سیستم‌های فایل اشتراکی را ساده‌تر می‌کند. از آنجا که یکتا بودن نام‌ها توسط پسوندهای نام فایلِ hostname و filestamp تضمین می‌شود، فایل‌های یک سرور NTP و کلاینت‌های وابسته به آن همگی می‌توانند در همان پوشهٔ اشتراکی نصب شوند.

روال توصیه‌شده این است که هنگام نصب فایل، پسوندهای نام فایل حفظ شوند و یک پیوند نرم از نام‌های عمومی مشخص‌شده در سایر بخش‌های این صفحه به فایل‌های تولیدشده ایجاد شود. این کار باعث می‌شود نسل‌های جدید فایل به‌سادگی با تغییر پیوند فعال شوند. اگر پیوندی وجود داشته باشد، ntpd(1) آن را تا نام فایل دنبال می‌کند تا filestamp را استخراج کند. اگر پیوندی وجود نداشته باشد، ntpd(1) مقدار filestamp را از خود فایل استخراج می‌کند. این امر به کلاینت‌ها امکان می‌دهد بررسی کنند که زمان فایل و زمان تولید همیشه به‌روز باشند. برنامهٔ ntp-keygen از همان پسوند filestamp برای تمام فایل‌هایی که در یک زمان تولید شده‌اند استفاده می‌کند، بنابراین هر نسخه/نسل متمایز بوده و در داده‌های پایش به‌راحتی قابل تشخیص است.

دستور را روی هر تعداد میزبانی که نیاز است اجرا کنید. یکی از آن‌ها را به عنوان میزبان مورد اعتماد (TH) با استفاده از ntp-keygen و با گزینهٔ -T تعیین کرده و آن را طوری پیکربندی کنید که با سرورهای قابل اعتماد اینترنتی همگام شود. سپس سایر میزبان‌ها را طوری پیکربندی کنید که به‌طور مستقیم یا غیرمستقیم با TH همگام شوند. یک ردپای گواهی (certificate trail) زمانی ایجاد می‌شود که Autokey از میزبان بالادست مستقیم به سمت TH درخواست کند تا گواهی‌اش را امضا نماید، که این گواهی سپس در صورت درخواست به میزبان پایین‌دست مستقیم ارائه می‌شود. تمام میزبان‌های گروه باید دارای ردپاهای گواهی غیرچرخه‌ای باشند که به TH ختم می‌شوند.

کلید میزبان در صورت نیاز برای رمزگذاری کوکی استفاده می‌شود و بنابراین باید از نوع RSA باشد. به‌طور پیش‌فرض، کلید میزبان همان کلید امضا نیز هست که برای رمزگذاری امضاها به کار می‌رود. می‌توان با استفاده از گزینهٔ -S کلید امضای متفاوتی را اختصاص داد که می‌تواند از نوع RSA یا DSA باشد. به‌طور پیش‌فرض، نوع خلاصهٔ پیام امضا MD5 است، اما هر ترکیبی از نوع کلید امضا و نوع خلاصهٔ پیام که توسط کتابخانهٔ OpenSSL پشتیبانی شود را می‌توان با استفاده از گزینهٔ -c مشخص کرد.

قوانین می‌گویند رسانه‌های رمزنگاری باید با برچسب‌های زمانیِ قابل اثبات (proventic filestamps) تولید شوند، به این معنی که میزبان باید پیش از اجرای این برنامه همگام شده باشد. البته این موضوع در زمان راه‌اندازی میزبان برای نخستین بار یک مسئلهٔ مرغ و تخم‌مرغ ایجاد می‌کند. بر این اساس، زمان میزبان باید با روش‌های دیگر، مثلاً نگاه به ساعت مچی، حداقل طوری تنظیم شود که طول عمر گواهی در سال جاری قرار گیرد. پس از آن و هنگامی که میزبان با یک منبع قابل اثبات همگام شد، گواهی باید دوباره تولید شود.

اطلاعات بیشتر دربارهٔ گروه‌های مورد اعتماد و طرح‌های هویت در صفحهٔ “Autokey Public-Key Authentication” موجود است.

نام‌های فایل با پیشوند ntpkey_ آغاز شده و با پسوند _hostname. filestamp پایان می‌یابند، که در آن hostname نام مالک است (معمولاً رشته‌ای که توسط دستور یونیکس hostname(1) بازگردانده می‌شود) و filestamp ثانیه‌های NTP در زمان تولید فایل در قالب ارقام ده‌دهی است. این کار هم یکتا بودن را تضمین می‌کند و هم فرایندهای نگهداری را ساده می‌سازد، چرا که تمام فایل‌ها را می‌توان به‌سرعت با دستور rm ntpkey* حذف کرد یا تمام فایل‌های تولیدشده در یک زمان مشخص را می‌توان با دستور rm *filestamp حذف نمود. برای کاهش بیشتر خطر پیکربندی نادرست، دو خط نخست یک فایل حاوی نام فایل و تاریخ و زمان تولید به عنوان کامنت است..SS "میزبان‌ها و گروه‌های مورد اعتماد (Trusted Hosts and Groups)" هر پیکربندی رمزنگاری شامل انتخاب یک طرح امضا و طرح احراز هویت است که cryptotype نامیده می‌شود، همان‌طور که در بخش Authentication Options از ntp.conf(5) توضیح داده شده است. حالت پیش‌فرض cryptotype از رمزنگاری RSA، خلاصه‌ساز پیام MD5 و احراز هویت TC استفاده می‌کند. ابتدا، یک زیرشبکهٔ NTP شامل یک یا چند میزبان مورد اعتماد با stratum پایین را پیکربندی کنید که تمام میزبان‌های دیگر همگام‌سازی را به‌طور مستقیم یا غیرمستقیم از آن‌ها دریافت می‌کنند. میزبان‌های مورد اعتماد دارای گواهی‌های معتمد هستند؛ تمام میزبان‌های دیگر گواهی‌های غیرمعتمد دارند. این میزبان‌ها به‌طور خودکار و پویا مسیرهای معتبر گواهی را به یک یا چند میزبان مورد اعتماد ایجاد می‌کنند. یک گروه مورد اعتماد، مجموعه‌ای از تمام میزبان‌هایی است که به‌طور مستقیم یا غیرمستقیم، یک مسیر گواهی منتهی به یک میزبان مورد اعتماد دارند. این مسیر با مدخل‌های ایستا در فایل پیکربندی یا روش‌های پویای شرح‌داده‌شده در بخش Automatic NTP Configuration Options از ntp.conf(5) تعریف می‌شود.

در هر میزبان مورد اعتماد با دسترسی root، به دایرکتوری کلیدها بروید. برای اطمینان از تازه بودن مجموعه فایل‌ها، تمام فایل‌های ntpkey را حذف کنید. سپس دستور ntp-keygen -T را برای تولید کلیدها و یک گواهی معتمد اجرا کنید. در تمام میزبان‌های دیگر نیز همین کار را انجام دهید، اما پرچم -T را حذف کنید تا کلیدها و گواهی‌های غیرمعتمد تولید شوند. پس از اتمام، دیمن‌های NTP را با شروع از پایین‌ترین stratum و حرکت به سمت بالای درخت اجرا کنید. ممکن است مدتی طول بکشد تا Autokey مسیرهای گواهی را در سرتاسر زیرشبکه ایجاد کند، اما راه‌اندازی این محیط کاملاً خودکار است.

اگر لازم است از کلید امضای متفاوت یا طرح خلاصه‌ساز/امضای متفاوتی نسبت به حالت پیش‌فرض استفاده شود، دستور ntp-keygen را با گزینهٔ -S type اجرا کنید، که در آن type می‌تواند RSA یا DSA باشد. بیشترین نیاز به این کار زمانی است که یک گواهی امضاشده با DSA استفاده شود. اگر لازم است از طرح گواهی متفاوتی نسبت به پیش‌فرض استفاده شود، دستور ntp-keygen را با گزینهٔ -c scheme و انتخاب scheme بر حسب نیاز اجرا کنید. اگر ntp-keygen دوباره بدون این گزینه‌ها اجرا شود، یک گواهی جدید با استفاده از همان طرح و کلید امضا، و پیوند نرم تولید می‌کند.

پس از راه‌اندازی محیط، توصیه می‌شود گواهی‌ها را هر از چند گاهی به‌روزرسانی کنید، حتی اگر صرفاً برای تمدید دورهٔ اعتبار باشد. تنها کافی است دستور ntp-keygen را با همان پرچم‌های قبلی اجرا کنید تا گواهی‌های جدید با استفاده از کلیدهای موجود و پیوندهای نرم تولید شوند. با این حال، در صورت تغییر کلید میزبان یا کلید امضا، ntpd(1) باید مجدداً راه‌اندازی شود. هنگامی که ntpd(1) مجدداً راه‌اندازی می‌شود، فایل‌های جدید را بارگذاری کرده و پروتکل را دوباره آغاز می‌کند. سایر میزبان‌های وابسته تا زمان نوسازی امضاها به کار معمول خود ادامه می‌دهند، که در آن هنگام پروتکل دوباره آغاز می‌شود.

همان‌طور که در صفحهٔ Autonomous Authentication اشاره شد، طرح احراز هویت پیش‌فرض TC در برابر حملهٔ مرد میانی آسیب‌پذیر است. با این حال، طرح‌های احراز هویت امن‌تری در دسترس هستند، از جمله طرح‌های PC، IFF، GQ و MV که در ادامه توضیح داده شده‌اند. این طرح‌ها بر پایهٔ یک TA، یک یا چند میزبان مورد اعتماد و تعدادی میزبان غیرمعتمد بنا شده‌اند. میزبان‌های مورد اعتماد هویت خود را با مقادیر ارائه‌شده توسط TA اثبات می‌کنند، در حالی که سایر میزبان‌ها هویت خود را با مقادیر ارائه‌شده توسط یک میزبان مورد اعتماد و مسیرهای گواهی منتهی به آن میزبان اثبات می‌نمایند. نام یک میزبان مورد اعتماد، نام زیرگروه آن و همچنین نام موضوع (subject) و صادرکننده (issuer) در گواهی معتمد آن است. مرجع TA لزوماً به این مفهوم یک میزبان مورد اعتماد نیست، اما غالباً چنین است.

در برخی طرح‌ها کلیدهای جداگانه‌ای برای سرورها و کلاینت‌ها وجود دارد. یک سرور می‌تواند کلاینتِ یک سرور دیگر نیز باشد، اما یک کلاینت هرگز نمی‌تواند برای کلاینت دیگری نقش سرور داشته باشد. به‌طور کلی، میزبان‌های معتمد و غیرمعتمدی که هم به‌عنوان سرور و هم به‌عنوان کلاینت عمل می‌کنند، دارای فایل‌های پارامتری هستند که هر دو کلید سرور و کلاینت را شامل می‌شوند. میزبان‌هایی که صرفاً به‌عنوان کلاینت عمل می‌کنند، دارای فایل‌های کلیدی هستند که تنها شامل کلیدهای کلاینت است.

طرح PC تنها از یک میزبان مورد اعتماد در گروه پشتیبانی می‌کند. روی میزبان مورد اعتماد alice، دستور ntp-keygen -P -p password را اجرا کنید تا فایل کلید میزبان ntpkey_ RSA key_alice. filestamp و فایل گواهی خصوصی معتمد ntpkey_ RSA-MD5 _ cert_alice. filestamp و پیوندهای نرم تولید شوند. هر دو فایل را به تمام میزبان‌های گروه کپی کنید؛ آن‌ها جایگزین فایل‌هایی می‌شوند که در سایر طرح‌ها تولید می‌شدند. در هر میزبان bob یک پیوند نرم از نام عمومی ntpkey_host_bob به فایل کلید میزبان، و یک پیوند نرم از ntpkey_cert_bob به فایل گواهی خصوصی ایجاد کنید. توجه داشته باشید که پیوندهای عمومی روی bob قرار دارند، اما به فایل‌های تولیدشده توسط میزبان مورد اعتماد alice اشاره می‌کنند. در این طرح، امکان نوسازی کلیدها یا گواهی‌ها بدون کپی کردن آن‌ها به تمام میزبان‌های دیگر در گروه و ایجاد مجدد پیوندهای نرم وجود ندارد.

برای طرح IFF همانند طرح TC عمل کنید تا کلیدها و گواهی‌ها برای تمام میزبان‌های گروه تولید شوند، سپس برای هر میزبان مورد اعتماد در گروه، فایل پارامتر IFF را تولید کنید. روی میزبان مورد اعتماد alice دستور ntp-keygen -T -I -p password را اجرا کنید تا فایل پارامتر او ntpkey_IFFpar_alice.filestamp تولید شود که شامل هر دو کلید سرور و کلاینت است. این فایل را به تمام میزبان‌های گروه که هم به‌عنوان سرور و هم به‌عنوان کلاینت عمل می‌کنند کپی کرده و یک پیوند نرم از نام عمومی ntpkey_iff_alice به این فایل ایجاد کنید. اگر میزبانی وجود ندارد که عملکرد آن صرفاً به کلاینت محدود شده باشد، کار دیگری لازم نیست انجام شود. از آنجا که طرح IFF مستقل از کلیدها و گواهی‌ها است، این فایل‌ها را می‌توان بر حسب نیاز نوسازی کرد.

اگر یک کلاینت سرکش فایل پارامتر را در اختیار داشته باشد، می‌تواند هویت خود را به‌عنوان یک سرور قانونی جا زده و تهدید مرد میانی ایجاد کند. برای از بین بردن این تهدید، می‌توان کلیدهای کلاینت را از فایل پارامتر استخراج کرده و میان تمام کلاینت‌های محدود توزیع نمود. پس از تولید فایل پارامتر، روی alice دستور ntp-keygen -e را اجرا کرده و خروجی را با لوله‌کشی (pipe) به یک فایل یا برنامهٔ ایمیل هدایت کنید. این فایل را برای تمام کلاینت‌های محدود کپی یا ایمیل نمایید. روی این کلاینت‌ها یک پیوند نرم از نام عمومی ntpkey_iff_alice به این فایل ایجاد کنید. برای محافظت بیشتر از یکپارچگی کلیدها، می‌توان هر فایل را با یک گذرواژهٔ محرمانه رمزنگاری کرد.

برای طرح GQ همانند طرح TC عمل کنید تا کلیدها و گواهی‌ها برای تمام میزبان‌های گروه تولید شوند، سپس برای هر میزبان مورد اعتماد در گروه، فایل پارامتر IFF را تولید کنید. روی میزبان مورد اعتماد alice دستور ntp-keygen -T -G -p password را اجرا کنید تا فایل پارامتر او ntpkey_GQpar_alice.filestamp تولید شود که شامل هر دو کلید سرور و کلاینت است. این فایل را به تمام میزبان‌های گروه کپی کرده و یک پیوند نرم از نام عمومی ntpkey_gq_alice به این فایل ایجاد کنید. علاوه بر این، در هر میزبان bob یک پیوند نرم از نام عمومی ntpkey_gq_bob به این فایل ایجاد کنید. از آنجا که طرح GQ فایل پارامترهای GQ و گواهی را به‌طور هم‌زمان به‌روزرسانی می‌کند، کلیدها و گواهی‌ها را می‌توان بر حسب نیاز دوباره تولید کرد.

برای طرح MV، همانند طرح TC عمل کنید تا کلیدها و گواهی‌ها برای تمام میزبان‌های گروه تولید شوند. برای نمونه فرض کنید trish مرجع TA، alice یکی از چندین میزبان مورد اعتماد و bob یکی از کلاینت‌های او باشد. روی مرجع TA trish دستور ntp-keygen -V n -p password را اجرا کنید، که در آن n تعداد کلیدهای قابل ابطال (معمولاً ۵) است تا فایل پارامتر ntpkeys_MVpar_trish.filestamp و فایل‌های کلید کلاینت ntpkeys_MVkeyd _ trish. filestamp تولید شوند، که در آن d شمارهٔ کلید است (0 < d < n). فایل پارامتر را به alice کپی کرده و یک پیوند نرم از نام عمومی ntpkey_mv_alice به این فایل ایجاد کنید. یکی از فایل‌های کلید کلاینت را به alice برای توزیع بعدی میان کلاینت‌هایش کپی کنید. فرقی نمی‌کند کدام فایل کلید کلاینت به alice داده شود، زیرا همگی به یک شیوه کار می‌کنند. سپس alice فایل کلید کلاینت را به تمام کلاینت‌هایش کپی می‌کند. در کلاینت bob یک پیوند نرم از نام عمومی ntpkey_mvkey_bob به فایل کلید کلاینت ایجاد کنید. از آنجا که طرح MV مستقل از کلیدها و گواهی‌ها است، این فایل‌ها را می‌توان بر حسب نیاز نوسازی کرد..SS "گزینه‌های خط فرمان (Command Line Options)"


تعداد بیت‌ها در مدول هویت را برای تولید کلیدهای هویت روی modulus بیت تنظیم می‌کند. تعداد بیت‌های مدول هویت به‌طور پیش‌فرض ۲۵۶ است، اما می‌تواند روی مقادیری از ۲۵۶ تا ۲۰۴۸ (۳۲ تا ۲۵۶ بایت) تنظیم شود. از مدول‌های بزرگ‌تر با احتیاط استفاده کنید، زیرا این کار می‌تواند منابع پردازشی قابل توجهی را مصرف کرده و اندازه بسته‌های احرازهویت‌شده را افزایش دهد.

طرح رمزنگاری امضای گواهی/خلاصه پیام (message digest) را انتخاب می‌کند. مقدار scheme می‌تواند یکی از موارد زیر باشد: RSA-MD2, RSA-MD5, RSA-MDC2, RSA-SHA, RSA-SHA1, RSA-RIPEMD160, DSA-SHA, یا DSA-SHA1. توجه داشته باشید که طرح‌های RSA باید با یک کلید امضای RSA و طرح‌های DSA باید با یک کلید امضای DSA استفاده شوند. حالت پیش‌فرض بدون این گزینه، RSA-MD5 است. در صورت نیاز به سازگاری با FIPS 140-2، باید یکی از طرح‌های DSA-SHA یا DSA-SHA1 به کار رود.

رمزنگار OpenSSL را برای رمزگذاری فایل‌های حاوی کلیدهای خصوصی انتخاب می‌کند. حالت پیش‌فرض بدون این گزینه، الگوریتم سه‌کلیدی Triple DES در حالت CBC، یعنی des-ede3-cbc است. دستور openssl -h ارائه‌شده همراه با OpenSSL، رمزنگارهای موجود را نمایش می‌دهد.

سطح پرگویی اشکال‌زدایی (debugging verbosity) را افزایش می‌دهد. این گزینه داده‌های رمزنگاری تولیدشده را در قالب نماهایی خوانا و واضح نمایش می‌دهد.

سطح پرگویی اشکال‌زدایی را روی level تنظیم می‌کند. این گزینه داده‌های رمزنگاری تولیدشده را در قالب نماهایی خوانا و واضح نمایش می‌دهد.

پارامترهای عمومی IFF یا GQ را از فایل کلیدهای کلاینت IFFkey یا GQkey که پیش‌تر مشخص شده است، به‌صورت داده‌های رمزگذاری‌نشده به جریان خروجی استاندارد stdout می‌نویسد. این گزینه برای توزیع خودکار کلید از طریق رایانامه در نظر گرفته شده است.

یک فایل پارامترها و کلید رمزگذاری‌شده جدید GQ را برای طرح هویت Guillou-Quisquater (GQ) تولید می‌کند. این گزینه با گزینه‌های -I و -V مانعة‌الجمع است (نمی‌تواند هم‌زمان استفاده شود).

یک فایل کلید میزبان عمومی/خصوصی رمزگذاری‌شده جدید RSA تولید می‌کند.

یک فایل کلید رمزگذاری‌شده جدید IFF را برای طرح هویت Schnorr (IFF) تولید می‌کند. این گزینه با گزینه‌های -G و Fl V مانعة‌الجمع است (نمی‌تواند هم‌زمان استفاده شود).

نام اختیاری گروه Autokey را روی group تنظیم می‌کند. این مقدار در نام فایل‌های پارامتر طرح هویت مربوط به فایل‌های پارامتر کلاینت IFF, GQ, و MV به کار می‌رود. در این نقش، در صورتی که گروهی ارائه نشود، مقدار پیش‌فرض همان نام میزبان است. نام گروه، در صورت مشخص شدن با استفاده از -i یا -s پس از نویسهٔ ‘@@’، همچنین در نام‌های موضوع و صادرکنندهٔ گواهی به صورت host @@ group استفاده می‌شود و باید با گروه مشخص‌شده از طریق crypto ident یا server ident در فایل پیکربندی ntpd مطابقت داشته باشد.

طول عمر انقضای گواهی را روی days روز تنظیم می‌کند. طول عمر پیش‌فرض یک سال (۳۶۵ روز) است.

تعداد بیت‌ها در مدول اول (prime modulus) را برای تولید فایل‌ها روی bits تنظیم می‌کند. مدول به‌طور پیش‌فرض ۵۱۲ است، اما می‌تواند از ۲۵۶ تا ۲۰۴۸ (۳۲ تا ۲۵۶ بایت) تنظیم شود. از مدول‌های بزرگ‌تر با احتیاط استفاده کنید، زیرا این کار می‌تواند منابع پردازشی قابل توجهی را مصرف کرده و اندازه بسته‌های احرازهویت‌شده را افزایش دهد.

یک فایل کلیدهای متقارن جدید حاوی ۱۰ کل.TP 7 -T --trusted-cert
تولید یک گواهی مورد اعتماد (trusted). به‌طور پیش‌فرض، برنامه یک گواهی نامعتمد (non-trusted) تولید می‌کند.

تولید nkeys کلید و پارامتر رمزنگاری‌شده سرور برای طرح احراز هویت Mu-Varadharajan (MV). این گزینه با گزینه‌های -I و -G ناسازگار (مانعة‌الجمع) است. نکته: پشتیبانی از این گزینه باید به عنوان یک کار در دست توسعه در نظر گرفته شود.

تمام طرح‌های تولید کلید که از نظر رمزنگاری معتبر هستند، باید سازوکاری برای تصادفی‌سازی بذر آنتروپی (entropy seed) داشته باشند که جهت مقداردهی اولیه به مولد درونی اعداد شبه‌تصادفی مورد استفاده توسط توابع کتابخانه، به کار می‌رود. کتابخانه OpenSSL از یک فایل بذر تصادفی مشخص برای این منظور استفاده می‌کند. این فایل باید هنگام راه‌اندازی دیمن NTP و برنامه ntp-keygen در دسترس باشد. اگر سامانه‌ای از OpenSSL یا مکمل آن OpenSSH پشتیبانی کند، به احتمال زیاد سازوکار انجام این کار از پیش فراهم است.

درک این نکته اهمیت دارد که آنتروپی باید برای هر بار تولید تغییر کرده و تکامل یابد، زیرا در غیر این صورت توالی اعداد تصادفی قابل پیش‌بینی خواهد بود. روش‌های گوناگونی وابسته به رویدادهای بیرونی، مانند فواصل زمانی فشردن کلیدها، می‌توانند برای این کار استفاده شوند و برخی سیستم‌ها دارای منابع آنتروپی توکار هستند. روش‌های مناسب در مستندات نرم‌افزار OpenSSL توضیح داده شده‌اند، اما خارج از محدوده این صفحه هستند.

بذر آنتروپی مورد استفاده کتابخانه OpenSSL در فایلی نگهداری می‌شود که معمولاً .rnd نام دارد و باید هنگام راه‌اندازی دیمن NTP یا برنامه ntp-keygen در دسترس باشد. دیمن NTP ابتدا با استفاده از مسیر تعیین‌شده توسط زیردستور randfile از دستور پیکربندی crypto به دنبال فایل می‌گردد. اگر به این روش مشخص نشده باشد، یا هنگام راه‌اندازی برنامه ntp-keygen، کتابخانه OpenSSL با استفاده از مسیر مشخص‌شده توسط متغیر محیطی RANDFILE در دایرکتوری خانگی کاربر، خواه ریشه (root) باشد یا کاربری دیگر، به دنبال فایل خواهد گشت. اگر متغیر محیطی RANDFILE وجود نداشته باشد، کتابخانه به دنبال فایل .rnd در دایرکتوری خانگی کاربر خواهد گشت. از آنجا که هم برنامه ntp-keygen و هم دیمن ntpd(1) باید با دسترسی ریشه (root) اجرا شوند، مکان منطقی برای قرار دادن این فایل در /.rnd یا /root/.rnd است. اگر فایل در دسترس نباشد یا نتوان در آن نوشت، دیمن با ثبت پیامی در گزارش‌های سیستم خارج شده و برنامه با یک پیام خطای مناسب پایان می‌یابد.

تمام قالب‌های فایل با دو خط رمزنگاری‌نشده آغاز می‌شوند. خط اول شامل نام فایل، از جمله نام میزبان تولیدشده و برچسب زمانی فایل (filestamp)، در قالب زیر است: ntpkey_key _ name. filestamp، که در آن key نوع کلید یا پارامتر، name نام میزبان یا گروه، و filestamp برچسب زمانی فایل (ثانیه‌های NTP) در هنگام ایجاد فایل است. طبق توافق، نام‌های key در نام فایل‌های تولیدشده شامل حروف بزرگ و کوچک هستند، در حالی که نام‌های key در نام پیوندهای تولیدشده تنها شامل حروف کوچک هستند. برچسب زمانی فایل در نام پیوندهای تولیدشده استفاده نمی‌شود. خط دوم حاوی برچسب تاریخ در قالب سنتی date یونیکس است. خطوطی که با ‘#’ آغاز می‌شوند، به عنوان توضیح (کامنت) در نظر گرفته شده و توسط برنامه ntp-keygen و دیمن ntpd(1) نادیده گرفته می‌شوند.

باقی‌مانده فایل شامل داده‌های رمزنگاری است که ابتدا بر اساس قواعد ASN.1 کدگذاری شده، سپس در صورت لزوم رمزنگاری گردیده و در نهایت به صورت متنی با کدگذاری PEM در قالب ASCII قابل‌چاپ نوشته می‌شود، که خطوط شناسه محتوای MIME در ابتدا و انتهای آن قرار می‌گیرند.

قالب فایل کلیدهای متقارن، که معمولاً ntp.keys نامیده می‌شود، به منظور حفظ سازگاری عقبرو تا حدی با سایر فایل‌ها تفاوت دارد. معمولاً این فایل توسط این برنامه تولید می‌شود، اما می‌توان آن را با یک ویرایشگر متنی معمولی نیز ایجاد و ویرایش کرد. 

# ntpkey_MD5key_bk.ntp.org.3595864945
# Thu Dec 12 19:22:25 2013
1  MD5 L";Nw<`.I<f4U0)247"i  # MD5 key
2  MD5 &>l0%XXK9O'51VwV<xq~  # MD5 key
3  MD5 lb4zLW~d^!K:]RsD'qb6  # MD5 key
4  MD5 Yue:tL[+vR)M`n~bY,'?  # MD5 key
5  MD5 B;fx'Kgr/&4ZTbL6=RxA  # MD5 key
6  MD5 4eYwa`o}3i@@@@V@@..R9!l  # MD5 key
7  MD5 `A.([h+;wTQ|xfi%Sn_!  # MD5 key
8  MD5 45:V,r4]l6y^JH6"Sh?F  # MD5 key
9  MD5 3-5vcn*6l29DS?Xdsg)*  # MD5 key
10 MD5 2late4Me              # MD5 key
11 SHA1 a27872d3030a9025b8446c751b4551a7629af65c  # SHA1 key
12 SHA1 21bc3b4865dbb9e920902abdccb3e04ff97a5e74  # SHA1 key
13 SHA1 2b7736fe24fef5ba85ae11594132ab5d6f6daba9  # SHA1 key
14 SHA  a5332809c8878dd3a5b918819108a111509aeceb  # SHA  key
15 MD2  2fe16c88c760ff2f16d4267e36c1aa6c926e6964  # MD2  key
16 MD4  b2691811dc19cfc0e2f9bcacd74213f29812183d  # MD4  key
17 MD5  e4d6735b8bdad58ec5ffcb087300a17f7fef1f7c  # MD5  key
18 MDC2 a8d5e2315c025bf3a79174c87fbd10477de2eabc  # MDC2 key
19 RIPEMD160 77ca332cafb30e3cafb174dcd5b80ded7ba9b3d2  # RIPEMD160 key
20 AES128CMAC f92ff73eee86c1e7dc638d6489a04e4e555af878  # AES128CMAC key
شکل ۱. نمونه فایل کلید متقارن

شکل ۱ یک نمونه فایل کلیدهای متقارن را نشان می‌دهد که توسط پیاده‌سازی مرجع استفاده می‌شود. پس از سرآیند، کلیدها در هر خط به قالب زیر وارد می‌شوند:
keyno type key
که در آن keyno یک عدد صحیح مثبت در محدوده ۱ تا ۶۵۵۳۵ است؛ type نوع کلید برای الگوریتم خلاصه پیام (message digest) است که در صورت عدم وجود کتابخانه OpenSSL باید MD5 باشد تا الگوریتم خلاصه پیام MD5 را مشخص کند؛ اگر کتابخانه OpenSSL نصب باشد، نوع کلید می‌تواند هر الگوریتم خلاصه پیام پشتیبانی‌شده توسط آن کتابخانه باشد؛ با این حال، اگر سازگاری با FIPS 140-2 الزامی باشد، نوع کلید باید SHA یا SHA1 باشد؛ key خود کلید است، که یک رشته ASCII قابل‌چاپ با طول ۲۰ نویسه یا کمتر است: هر نویسه از میان ۹۳ نویسه قابل‌چاپ در محدوده 0x21 تا 0x7e (از ‘’! تا ‘~’ ) به جز فاصله و نویسه ‘#’ انتخاب شده و به فاصله خالی یا نویسه ‘#’ ختم می‌شود. یک کلید OpenSSL از یک رشته ASCII با کدگذاری هگزادسیمال با ۴۰ نویسه تشکیل می‌شود که در صورت لزوم کوتاه می‌شود.

توجه داشته باشید که کلیدهای مورد استفاده توسط برنامه‌های ntpq(1) و ntpdc(1) با گذرواژه‌های درخواست‌شده توسط برنامه‌ها و ارائه‌شده به صورت دستی تطبیق داده می‌شوند، بنابراین عموماً مناسب است که این کلیدها با قالب ASCII خوانا برای انسان مشخص شوند.

برنامه ntp-keygen یک فایل کلیدهای متقارن به نام ntpkey_MD5key_hostname. filestamp تولید می‌کند. از آنجا که این فایل حاوی کلیدهای مشترک خصوصی است، باید فقط برای کاربر ریشه (root) قابل مشاهده باشد و از راه‌های امن به سایر میزبان‌های زیرشبکه توزیع شود. دیمن NTP فایل ntp.keys را بارگذاری می‌کند، بنابراین ntp-keygen یک پیوند نمادین (soft link) از این نام به فایل تولیدشده ایجاد می‌کند. متعاقباً، پیوندهای نمادین مشابه باید به روش دستی یا خودکار روی سایر میزبان‌های زیرشبکه ایجاد شوند. اگرچه این فایل با پروتکل Autokey Version 2 استفاده نمی‌شود، برای احراز هویت برخی از دستورهای پیکربندی از راه دور که توسط ابزارهای ntpq(1) و ntpdc(1) استفاده می‌شوند، لازم است..SH "گزینه‌ها (OPTIONS)"


بیت‌های مدول شناسه. این گزینه یک عدد صحیح را به عنوان آرگومان خود می‌پذیرد. مقدار imbits محدود است به: 
در بازه  256 تا 2048

تعداد بیت‌ها در مدول شناسه. مقدار پیش‌فرض 512 است.


طرح گواهی.

scheme یکی از موارد زیر است: RSA-MD2، RSA-MD5، RSA-MDC2، RSA-SHA، RSA-SHA1، RSA-RIPEMD160، DSA-SHA یا DSA-SHA1.

طرح رمزنگاری امضای گواهی/خلاصه پیام را انتخاب کنید. توجه داشته باشید که طرح‌های RSA باید با یک کلید امضای RSA و طرح‌های DSA باید با یک کلید امضای DSA استفاده شوند. مقدار پیش‌فرض بدون این گزینه RSA-MD5 است.


رمز کلید خصوصی.

رمزی را که برای رمزگذاری فایل‌های حاوی کلیدهای خصوصی استفاده می‌شود انتخاب کنید. پیش‌فرض، triple DES سه‌کلیدی در حالت CBC است، معادل "-C des-ede3-cbc". ابزار openssl رمزهای موجود را در خروجی "openssl -h" فهرست می‌کند.


افزایش سطح جزئیات اشکال‌زدایی. این گزینه می‌تواند به تعداد نامحدود تکرار شود.

تنظیم سطح جزئیات اشکال‌زدایی. این گزینه می‌تواند به تعداد نامحدود تکرار شود. این گزینه یک عدد صحیح را به عنوان آرگومان خود می‌پذیرد.

نوشتن کلیدهای شناسه IFF یا GQ.

پارامترهای عمومی حاصل از کلیدهای کلاینت IFF یا GQ را در خروجی استاندارد می‌نویسد. این گزینه برای توزیع خودکار کلید از طریق ایمیل در نظر گرفته شده است.


تولید پارامترها و کلیدهای GQ.

تولید پارامترها و کلیدها برای طرح شناسایی GQ، و منسوخ کردن هر موردی که ممکن است وجود داشته باشد.


تولید کلید میزبان RSA.

تولید کلیدهای میزبان جدید، و منسوخ کردن هر موردی که ممکن است از قبل وجود داشته باشد.


تولید پارامترهای IFF.

تولید پارامترها برای طرح شناسایی IFF، و منسوخ کردن هر موردی که ممکن است از قبل وجود داشته باشد.


تنظیم نام گروه Autokey.

تنظیم نام اختیاری گروه Autokey به نام تعیین‌شده. این نام در نام فایل مربوط به فایل‌های پارامتر کلاینت IFF، GQ و MV استفاده می‌شود. در این نقش، اگر این گزینه ارائه نشود، پیش‌فرض نام میزبان است. نام گروه، در صورت مشخص شدن با -i/--ident یا با استفاده از -s/--subject-name به دنبال یک نویسه '@@'، همچنین بخشی از نام موضوع و صادرکننده گواهی خودامضاشدهٔ میزبان به صورت host@@group خواهد بود و باید با پیکربندی 'crypto ident' یا 'server ident' در فایل پیکربندی ntpd مطابقت داشته باشد.


تنظیم طول عمر گواهی. این گزینه یک عدد صحیح را به عنوان آرگومان خود می‌پذیرد.

تاریخ انقضای گواهی را روی lifetime روز از اکنون تنظیم می‌کند.


مدول اول. این گزینه یک عدد صحیح را به عنوان آرگومان خود می‌پذیرد. مقدار modulus محدود است به: 
در بازه  256 تا 2048

تعداد بیت‌ها در مدول اول. مقدار پیش‌فرض 512 است.


تولید کلیدهای متقارن.

تولید کلیدهای متقارن، و منسوخ کردن هر موردی که ممکن است از قبل وجود داشته باشد.


تولید گواهی خصوصی PC.

تولید یک گواهی خصوصی. به طور پیش‌فرض، برنامه گواهی‌های عمومی تولید می‌کند.


گذرواژه خصوصی محلی.

فایل‌های محلی حاوی داده‌های خصوصی با الگوریتم DES-CBC و گذرواژه مشخص‌شده رمزگذاری می‌شوند. همین گذرواژه باید از طریق دستور پیکربندی "crypto pw password" به ntpd محلی مشخص شود. گذرواژه پیش‌فرض، نام میزبان محلی است.


برون‌بری کلیدهای گروه IFF یا GQ با گذرواژه.

برون‌بری کلیدهای گروه شناسه IFF یا GQ به خروجی استاندارد، رمزگذاری‌شده با الگوریتم DES-CBC و گذرواژه مشخص‌شده. همین گذرواژه باید از طریق دستور پیکربندی "crypto pw password" به ntpd راه دور مشخص شود. همچنین گزینه --id-key (-e) را برای برون‌بری‌های بدون رمزگذاری ببینید.


تنظیم نام میزبان و در صورت تمایل نام گروه.

نام میزبان Autokey، و به صورت اختیاری، نام گروه مشخص‌شده به دنبال نویسه '@@' را تنظیم می‌کند. نام میزبان در نام فایل گواهی‌های میزبان و امضای تولیدشده، بدون نام گروه استفاده می‌شود. نام میزبان، و در صورت ارائه شدن، نام گروه به صورت host@@group در فیلدهای موضوع و صادرکننده گواهی میزبان استفاده می‌شوند. مشخص کردن در حالی که همانند -i group، عبارت @@group به فیلدهای موضوع و صادرکننده افزوده می‌شود. نام گروه، یا در صورت ارائه نشدن، نام میزبان همچنین در نام فایل‌های پارامتر کلاینت IFF، GQ و MV استفاده می‌شود.


تولید کلید امضا (RSA یا DSA).

یک کلید امضای جدید از نوع تعیین‌شده تولید می‌کند، و هر موردی را که ممکن است از قبل وجود داشته باشد منسوخ می‌سازد. به طور پیش‌فرض، برنامه از کلید میزبان به عنوان کلید امضا استفاده می‌کند.


گواهی معتمد (طرح TC).

تولید یک گواهی معتمد. به طور پیش‌فرض، این برنامه یک گواهی غیرمعتمد تولید می‌کند.


تولید <num> پارامتر MV. این گزینه یک عدد صحیح را به عنوان آرگومان خود می‌پذیرد.

تولید پارامترها و کلیدها برای طرح شناسایی Mu-Varadharajan (MV).


به‌روزرسانی <num> کلید MV. این گزینه یک عدد صحیح را به عنوان آرگومان خود می‌پذیرد.

این گزینه هنوز به طور کامل مستندسازی نشده است.

-?, --help

نمایش اطلاعات نحوه استفاده و خروج.
-!, --more-help

ارسال اطلاعات تکمیلی نحوه استفاده از طریق یک صفحه‌بند.
-> [cfgfile], --save-opts [=cfgfile]

ذخیره وضعیت گزینه‌ها در cfgfile. پیش‌فرض، آخرین فایل پیکربندی فهرست‌شده در بخش OPTION PRESETS در زیر است. دستور پس از به‌روزرسانی فایل پیکربندی خارج خواهد شد.
-< cfgfile, --load-opts=cfgfile, --no-load-opts

بارگذاری گزینه‌ها از cfgfile. شکل no-load-opts بارگذاری فایل‌های پیکربندی قبلی config/rc/ini را غیرفعال خواهد کرد. گزینه --no-load-opts در ابتدای کار و خارج از نوبت پردازش می‌شود.

نمایش نسخه برنامه و خروج. حالت پیش‌فرض `v`، یک نسخه ساده است. حالت `c` اطلاعات حق نشر را چاپ می‌کند و `n` اعلان کامل حق نشر را نمایش خواهد داد. هر گزینه‌ای که به عنوان not presettable علامت‌گذاری نشده باشد، می‌تواند با بارگذاری مقادیر از فایل(های) پیکربندی («RC» یا «.INI») و مقادیر متغیرهای محیطی با نام‌های زیر پیش‌تنظیم شود: 
NTP_KEYGEN_<option-name> یا NTP_KEYGEN
پیش‌تنظیم‌های محیطی بر فایل‌های پیکربندی تقدم دارند (دیرتر از آن‌ها پردازش می‌شوند). فایل‌های homerc عبارت‌اند از «$HOME» و «.». اگر هر یک از این‌ها دایرکتوری باشند، آن‌گاه فایل .ntprc درون آن دایرکتوری‌ها جستجو می‌شود.

برای متغیرهای محیطی پیکربندی، پیش‌تنظیم‌های گزینه‌ها (OPTION PRESETS) را ببینید.

برای فایل‌های پیکربندی، پیش‌تنظیم‌های گزینه‌ها (OPTION PRESETS) را ببینید.

یکی از مقادیر خروج زیر بازگردانده خواهد شد:

0 (EXIT_SUCCESS)

اجرای موفقیت‌آمیز برنامه.
1 (EXIT_FAILURE)

عملیات ناموفق بود یا ساختار دستور معتبر نبود.
66 (EX_NOINPUT)

امکان بارگذاری فایل پیکربندی مشخص‌شده وجود نداشت.
70 (EX_SOFTWARE)

libopts دچار یک خطای عملیاتی داخلی شد. لطفاً آن را به autogen-users@lists.sourceforge.net گزارش دهید. با تشکر.

The University of Delaware و Network Time Foundation

کپی‌رایت (C) 1992-2024 متعلق به The University of Delaware و Network Time Foundation؛ تمامی حقوق محفوظ است. این برنامه تحت شرایط مجوز NTP منتشر شده است، http://ntp.org/license.

تولید برخی از مقادیر رمزنگاری ممکن است زمان زیادی ببرد.

لطفاً باگ‌ها را به http://bugs.ntp.org گزارش دهید.

لطفاً گزارش‌های باگ را به: https://bugs.ntp.org, bugs@ntp.org ارسال کنید.

بخش‌هایی از این سند برگرفته از FreeBSD است.

این صفحهٔ راهنما توسط AutoGen از تعاریف گزینه‌های ntp-keygen تولید شده است.

25 May 2024 ntp (4.2.8p18)