secure_time: true can never sync — guest chrony is built without NTS
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 1-2 jours
- Accessibilité débutants
- 68/100
- Type d'issue
- Bug
- Clarté
- Plutôt claire
- Activité
- Calme
- Stack technique
- rust
- Domaine
- build-system, infrastructure, security
Piste de recherche
Commencez par meta-dstack/recipes-core/chrony/chrony%.bbappend et comparez son PACKAGECONFIG avec le chrony_4.8.bb en amont, puis examinez dstack-util/system_setup.rs autour du gate de chronyc waitsync. Construisez une image avec NTS activé et vérifiez que chronyc peut se synchroniser ; suivez également la valeur par défaut pour un nœud unique afin que secure_time soit false lorsqu’aucune source de temps de confiance n’existe.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Problem
Guest images ship /etc/chrony/chrony.conf with every time server set to NTS (server <host> iburst nts), but chronyd is compiled without NTS support. Chrony therefore has zero usable sources and never synchronizes.
Any app with secure_time: true — the manifest default (default_true) — then blocks in dstack-util system_setup.rs on chronyc waitsync, which bails → boot.error → reboot. On SEV-SNP this is a hard loop (cpus are not resettable, terminating → VMM restarts forever); on TDX it's a boot failure.
Confirmed from inside a running CVM:
chronyd 4.8 starting (... -NTS ...)
Missing NTS support
Can't synchronise: no selectable sources (10 unreachable sources)
chronyc authdata shows Cook=0 for all servers (NTS-KE never attempted), and the clock was already correct (stepped 0.000000s) — so it's not a network, clock, or platform issue.
It has gone unnoticed because every real deployment sets secure_time: false; the broken NTS sync is silent until the strict gate is enabled.
Fix
In meta-dstack, recipes-core/chrony/chrony%.bbappend adds DEPENDS += "gnutls" and an NTS config but never enables the NTS build flag. Upstream chrony_4.8.bb gates it behind PACKAGECONFIG[nts]. Add:
PACKAGECONFIG:append = " nts"
Then chronyd is built with NTS and secure_time: true can actually sync.
Separately, single-node/no-gateway deploys (no trusted time source) should default secure_time: false.
- Langage dominant
- Rust
- Étoiles
- 555
- Forks
- 99
- Merge moyen
- 1 j 5 h
- PR mergées (30 j)
- 182
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Aucun modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de Dstack-TEE/dstack
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
Dstack-TEE/dstack#1384 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 30/100
Dstack-TEE/dstack#1301 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 3/5 1-2 jours Accessibilité débutants 55/100
Dstack-TEE/dstack#1300 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 4/5 3-5 jours Accessibilité débutants 48/100
Dstack-TEE/dstack#1299 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 4/5 3-5 jours Accessibilité débutants 48/100
Dstack-TEE/dstack#1298 ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de Dstack-TEE/dstack
Issues similaires
-
area::tern difficulty::easy good first issue kind::cleanup triage::ready
Difficulté 1/5 1-3 heures Accessibilité débutants 88/100
-
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
eclipse-zenoh/zenoh#2842 · 2 commentaires ·
Les mainteneurs répondent en général sous 1 jour
-
中文字符导致软件崩溃Ouvertebug
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
Y-ASLant/ElegantClipboard#172 ·
-
bug documentation
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
SaboLabs/soroban-devkit#341 ·
Les mainteneurs répondent en général sous 1 jour
-
agent:sonnet-high enhancement priority: P2 ready-for-agent
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
shep-pm/shep-kelpie#652 ·
Les mainteneurs répondent en général sous 1 jour