この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。参照元の情報をもとに整理していますが、筆者による実機確認は行っていません。
検証ステータス：unverified（実機未確認）
RFC 10049で仕様化されたRoughtimeは、事前の正確な時刻を持たないクライアントでも安全におおよその時刻（粗い時刻同期）を取得し、サーバーの不正や不整合を暗号論的に証明できるように設計された実験的プロトコルです。クライアントが提示したナンス（nonce）を取り込んだ署名付き応答やマークル木を活用することで、通信の順序証明と署名コストの効率化を同時に満たす枠組みが提供されています。
Roughtimeが解決しようとする課題と設計思想
インターネットにおける時刻同期は、X.509証明書の有効期限検証をはじめとするセキュリティ基盤を成立させる上で不可欠な要素です。しかし、広く普及しているNetwork Time Protocol（NTP）には十分なセキュリティ機構が備わっておらず、Network Time Security（NTS）を採用した場合でも「サーバー群が正しく動作しているか」を外部から客観的に監視・証明する機構までは整っていませんでした。
また、電源喪失や長期間の停止によって現在時刻の目処が全く立たないデバイスでは、証明書の検証そのものが破綻し、セキュアな通信を確立できないブートストラップ問題が発生します。
一次情報に記載されているRoughtimeの設計目標は、静的な設定値（サーバー一覧と固定の長期公開鍵）を手がかりに、高確率で認証された大まかな時刻を取得することです。各サーバーの長期鍵を信頼の起点とし、複数のサーバーから得られた応答を連鎖させて矛盾（不整合）を検出した場合、不正の暗号学的証拠（proof of malfeasance）として外部に報告できる仕組みが取り入れられています。
パケットおよびメッセージの共通バイナリフォーマット
Roughtimeの通信データは、トランスポート層で運ばれる「パケット」と、その内部に格納される「メッセージ」の2層構造で定義されています。
パケットフォーマット
UDPまたはTCP上で送受信されるRoughtimeパケットは、先頭に固定のマジックナンバーを持ちます。
マジックナンバー（uint64）: ASCII文字列の
"ROUGHTIM"に相当する0x4d49544847554f52メッセージ長（uint32）: 後続するRoughtimeメッセージのバイト長
Roughtimeメッセージ: 仕様に定められたタグと値のマップ形式データ
数値型はいずれもリトルエンディアン（最下位バイトが先頭）でシリアライズされます。
メッセージ構造
Roughtimeメッセージは、1つ以上の「タグと値のペア」を格納する辞書形式のバイナリ構造です。一部のタグでは、値の中に別のRoughtimeメッセージを再帰的に内包できます。
ペア数 $N$（uint32）: 含まれるタグの総数
オフセット配列（$(N-1) \times \text{uint32}$）: 2番目以降の値がメッセージ値領域のどこから始まるかを示す相対位置（0番目のオフセットは暗黙的に0）。すべてのオフセットは4の倍数でなければならない
タグ配列（$N \times \text{uint32}$）: 各要素を識別する4バイトの識別子
メッセージ値領域: 各タグに対応する値データの実体
タグはASCIIの大文字（A〜Z）1〜4文字と、余白を埋める0〜3個のゼロオクテットで構成されます。メッセージ内のタグ配列およびオフセット配列は、タグのuint32値昇順で厳格にソートされている必要があります。同一タグの重複は禁止されています。
Roughtime通信シーケンスと署名フロー
Roughtimeの最も基本的な通信モデル（Single Server Mode）は、クライアントからのリクエストに対してサーバーが署名付きの時刻データを返す1往復のやりとりで完結します。
サーバーは受け取ったリクエスト内のナンスを含むハッシュ値をマークル木のリーフ（葉）ノードとして組み込み、その木のルートハッシュに対してデジタル署名を付与します。これにより、サーバーは複数クライアントからの要求に対する署名処理を1回に集約して計算負荷を抑えつつ、クライアントに対して「リクエスト受信後に生成された応答である」という順序性を証明できます。
sequenceDiagram
participant Client as Client
participant Server as Roughtime Server
Client->>Server: リクエスト (ROUGHTIMパケット: VER, NONC, TYPE, [SRV], [ZZZZ])
Note over Server: ナンスを取り込んだマークル木を構築<br/>ルートハッシュに対して署名を生成
Server-->>Client: レスポンス (ROUGHTIMパケット: VER, SREP, SIG, PATH, CERT等)
Note over Client: 署名とマークルパスの検証<br/>ナンスの包含確認と時刻取得
クライアントは返送されたマークルパスと署名を検証し、自身が送信したナンスが木に含まれていることを確認することで、過去の応答を再利用するリプレイ攻撃を排除できます。また、複数のサーバーへ順次問い合わせを行い、前のサーバーからの応答ハッシュを次のリクエストに組み込んで問い合わせを連鎖させることで、サーバー間の提示時刻の矛盾を検出するマルチサーバーモードへ展開できます。
リクエストメッセージを構成する主要タグ
一次情報において、クライアントが送信するリクエストメッセージには以下のタグが含まれると規定されています。
| タグ名 | 必須 / 任意 | 役割とデータ形式 |
|---|---|---|
VER | 必須 | クライアントがサポートするRoughtimeプロトコルバージョンのリスト（uint32の配列）。RFC 10049で規定されるバージョンは 1 |
NONC | 必須 | リクエストごとにクライアントが生成する暗号論的なナンス値。十分なエントロピーが必要 |
TYPE | 必須 | リクエストの種類を指定するタグ |
SRV | 推奨 | クライアントがアクセス先として意図しているサーバー識別情報 |
ZZZZ | 任意 | パディング用のタグ。UDP通信時においてメッセージ全体の長さを拡張するために使用 |
仕様上、サーバーは未知のタグを無視しなければならず、必須タグである VER、NONC、TYPE が揃っていないリクエストは破棄（無視）する必要があります。
トランスポート層の要件と増幅攻撃対策
RoughtimeはUDPデータグラムおよびTCPストリームの双方に対応しており、サーバーは両方のトランスポートモードをサポートすることが推奨されています。
UDPの制約とパケット増幅攻撃への対策
UDPを使用する場合、リクエストおよびレスポンスはそれぞれ単一のデータグラムで送受信されなければなりません。
UDPベースのプロトコルで懸念されるのが、送信元IPアドレスを偽装したパケットによるDNSやNTPのDDoS増幅攻撃（Amplification Attack）です。Roughtimeではこの脅威に対処するため、次のような厳格なサイズ規則が設けられています。
UDPを使用する場合、リクエストメッセージのサイズは原則として1024バイト以上である必要がある（推奨）。
要求長を満たすために、クライアントはパディング用タグである
ZZZZを付与してリクエストを拡張する。サーバーは、受信したリクエストメッセージよりも大きなサイズのレスポンスを返送してはならない。
1024バイト未満のリクエストに対して応答するかどうかはサーバー側の任意とされており、リクエスト長を超える応答を禁止することで、第三者に対する反射増幅攻撃の踏み台にされるリスクを構造的に排除しています。
TCPのフォールバックと再試行制御
ネットワーク経路の最大伝送可能長（MTUなど）が小さく、パケットが欠落してUDPでの疎通が行えない場合、クライアントはTCPトランスポートモードへの切り替えを試行することが推奨されています。
TCP接続の確立やUDPでの問い合わせに失敗した際、クライアントは指数バックオフ（Exponential Backoff）を実装しなければなりません。推奨パラメータとして、初期再試行間隔は1秒、乗数は1.5、最大間隔は24時間（86400秒）と示されています。適切な署名付きレスポンスを受信するまで、この再試行間隔のリセットは禁止されています。
利用時の注意点と運用の境界条件
Roughtimeの導入や実装を検討する際には、プロトコルが想定している精度や役割の境界を理解しておく必要があります。
ナンスの品質: ナンスの衝突や予測可能性は、応答の鮮度証明を無効化する恐れがあります。暗号論的に安全な乱数生成器を使用することが前提です。
うるう秒の扱い: タイムスタンプはUnixエポック（1970年1月1日00:00:00 UTC）からの経過秒数をuint64で表現し、1日を86400秒と仮定しています。うるう秒の一意な表現を持たないため、極めて厳密な時刻同期ではなく、サーバーの確信度範囲（RADIUS）を考慮した「粗い同期」として扱う必要があります。
UDP経路のMTUとフラグメンテーション: IPv4においてDon’t Fragment（DF）ビットを設定するかどうかは任意ですが、未設定による断片化の再構築失敗や、設定による途中破棄が発生する可能性があります。UDPで応答が得られない場合はTCPへのフォールバックを想定した設計が求められます。
エコシステムの未整備: RFC 10049はオンワイヤプロトコル（通信路上でやり取りされるフォーマット）を主に定義しており、信頼できるサーバーリストの動的配布機構や、不正報告を受けたサーバーの弾劾（Impeachment）プロセスといった運用エコシステムは実験段階であり、標準化のスコープ外とされています。
まとめ
RFC 10049で定義されたRoughtimeは、暗号論的検証とトラフィック制御の双方を考慮したプロトコルです。実装や通信確認を行う前に留意すべき要点を以下にまとめます。
メッセージはリトルエンディアンのuint32で表現されたタグ昇順で整列されており、4バイト境界に揃えられたオフセット配列を持つ。
リクエストには
VER、NONC、TYPEが必須であり、UDP利用時は増幅防止のためZZZZパディングを伴う1024バイト以上の構成が基本となる。サーバーはナンスをマークル木に組み込んで署名を行うため、単一サーバー通信でもリプレイ攻撃を排除しつつ署名負荷が最適化される。
通信障害時は底1.5の指数バックオフが義務付けられており、UDP疎通が困難な経路ではTCP接続への切り替えが推奨される。
本仕様はExperimental（実験的仕様）であり、サーバー一覧の配布や弾劾審査といったエコシステム面の仕組みは今後の運用課題として位置づけられている。
参考情報
- RFC 10049: Roughtime: A Protocol for Rough Time Synchronization（https://www.rfc-editor.org/info/rfc10049/）
