secure_time: true can never sync — guest chrony is built without NTS

Aperta

#745 aperta il 27/6/2026 2 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà: 3/5
Tempo stimato: 1-2 giorni
Idoneità per principianti: 68/100

Tipo di issue: Bug
Chiarezza: Abbastanza chiara
Stato di attività: Tranquilla
Stack tecnologico: rust
Ambito: build-system, infrastructure, security

Direzione di ricerca

Inizia da meta-dstack/recipes-core/chrony/chrony%.bbappend e confronta il suo PACKAGECONFIG con il chrony_4.8.bb upstream, quindi esamina dstack-util/system_setup.rs intorno al gate di chronyc waitsync. Crea un’immagine con NTS abilitato e verifica che chronyc possa sincronizzarsi; traccia inoltre il valore predefinito per il nodo singolo, in modo che secure_time sia false quando non esiste alcuna sorgente temporale attendibile.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

bug security

Problem

Guest images ship /etc/chrony/chrony.conf with every time server set to NTS (server <host> iburst nts), but chronyd is compiled without NTS support. Chrony therefore has zero usable sources and never synchronizes.

Any app with secure_time: true — the manifest default (default_true) — then blocks in dstack-util system_setup.rs on chronyc waitsync, which bails → boot.error → reboot. On SEV-SNP this is a hard loop (cpus are not resettable, terminating → VMM restarts forever); on TDX it's a boot failure.

Confirmed from inside a running CVM:

chronyd 4.8 starting (... -NTS ...)
Missing NTS support
Can't synchronise: no selectable sources (10 unreachable sources)

chronyc authdata shows Cook=0 for all servers (NTS-KE never attempted), and the clock was already correct (stepped 0.000000s) — so it's not a network, clock, or platform issue.

It has gone unnoticed because every real deployment sets secure_time: false; the broken NTS sync is silent until the strict gate is enabled.

Fix

In meta-dstack, recipes-core/chrony/chrony%.bbappend adds DEPENDS += "gnutls" and an NTS config but never enables the NTS build flag. Upstream chrony_4.8.bb gates it behind PACKAGECONFIG[nts]. Add:

PACKAGECONFIG:append = " nts"

Then chronyd is built with NTS and secure_time: true can actually sync.

Separately, single-node/no-gateway deploys (no trusted time source) should default secure_time: false.

Lingua principale: Rust
Stelle: 550
Fork: 97
Merge medio: 19h 22m
PR unite (30g): 109

Guida per i contributori

Apri la guida per i contributori

Come iniziare

Leggi tutta la issue e poi la guida ai contributi del progetto.
Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
Fai un fork del repository e lavora su un branch.
Apri una pull request che faccia riferimento al numero della issue.