Zeit ist eine Abhängigkeit, kein Detail
Einführung · 6 Abschnitte · ~15 Min Lesezeit · Stand
Betriebsfrage
Zwei Systeme, deren Uhren auseinanderlaufen, verlieren zwei Dinge gleichzeitig: die Fähigkeit, sich gegenseitig zu authentifizieren, und die Fähigkeit, eine gemeinsame Ereignisfolge zu belegen. Beides fällt erst auf, wenn es fehlt.
Mentales Modell
- Referenzquelle
- Interne Zeitschicht
- Server
- Clients
NTP ordnet Zeitquellen in Stratum-Ebenen: Stratum 0 ist die physikalische Referenz, jede weitere Ebene bezieht ihre Zeit von der darüberliegenden. Eine saubere Umgebung hat wenige gehärtete interne Zeitserver mit mehreren externen Referenzen — und alle anderen Systeme darunter.
Warum mehrere Quellen
Eine einzelne Quelle ist nicht überprüfbar: Weicht sie ab, folgt ihr die gesamte Umgebung. Erst mehrere unabhängige Referenzen erlauben es, einen Ausreißer als solchen zu erkennen und auszuschließen.
Sprung oder Angleichung
| Sprung | Die Uhr wird sofort gesetzt. Zeitstempel können sich wiederholen oder rückwärts laufen — gefährlich für Datenbanken, Sperren, Logs und Zertifikatsprüfungen im laufenden Betrieb. |
|---|---|
| Langsame Angleichung | Die Uhr wird über einen Zeitraum an die Referenz herangeführt. Monotonie bleibt erhalten, die Korrektur dauert aber. |
Die Faustregel: Sprung beim Start, wenn noch keine Arbeit von der Uhr abhängt — Angleichung im Betrieb, solange die Abweichung nicht so groß ist, dass sie den Dienst ohnehin bereits unbrauchbar macht.
Zeit als Beweismittel
- Kerberos und ähnliche Verfahren lehnen Anfragen außerhalb eines engen Zeitfensters ab — Abweichung erscheint als Anmeldefehler.
- Zertifikate haben Gültigkeitsfenster; eine falsche Uhr erzeugt scheinbar abgelaufene oder noch ungültige Zertifikate.
- Korrelation über mehrere Systeme setzt eine gemeinsame Zeitbasis voraus; ohne sie ist die Reihenfolge von Ereignissen nicht belegbar.