Trusted Federation
|
Информации мало или она отсутствует Пока в данной статье мало информации. Приносим извинения. Если вы хотите написать по теме, — . |
Trusted Federation - концепция, выдвинутая Советом XMPP в начале 2008 года. Вкратце, её суть заключается в свободной выдаче желающим владельцам jabber-серверов SSL-сертификатов, и в рекомендации ограничить S2S-контакты с серверами, не имеющими сертификата.
Перевод сообщения от StPeter[edit]
В начале был jabberd 1.0, и это было хорошо.
Но затем возникла проблема: он был принял подключение даже если другая сторона сообщила бы ложную информацию о себе, например, представилась бы как whitehouse.gov или paypal.com. Я называю это "неразборчивая федерация". Возможности для спама были неограниченными, и мы бы скатились к той же ситуации, в которой сейчас находится e-mail. Нам нужно было что-то получше.
Тогда Jer придумал "Server dialback" и выпустил jabberd 1.2. Теперь ваш Jabber-сервер не принял бы подключение, не убедившись что его "собеседник", как минимум, может продемонстрировать стабильную и корректную идентичность, по крайней мере в плане DNS. Я называю это "проверенная федерация".
В то же время мы определили специальный порт для защищенных SSL подключений "клиент-сервер" (5223 вместо 5222). Но мы никогда не определяли такой порт для подключений "сервер-сервер" (скажем, 5270 вместо 5269), так что все, что мы могли сделать для s2s - dialback.
Затем мы отправили ключевые технологии Jabber в IETF для формализации, включая оценку безопасности. В результате мы добавили поддержку TLS в XML-потоки, или, точнее, STARTTLS (позволяющий вам "улучшить" c2s или s2s подключение с нешифрованного до шифрованного). Это дало нам возможность созать "безопасную федерацию": соединения "сервер-сервер", зашифрованные с помощью цифровых сертификатов.
Обычно администраторы генерировали так называемые самоподписанные сертификаты. Другими словами, делали их из ничего. Это как если бы я сам выдал себе водительские права. Может, это и выглядит красиво, но нет никаких оснований для доверия.
Таким образом, за "проверенной федерацией" и "безопасной федерацией" следует то, что я называю "доверенной федерацией": соединения "сервер-сервер", зашифрованные с помощью цифровых сертификатов, исходящих из доверенного источника.
Но где администраторы возьмут эти сертификаты? В старые недобрые времена вам бы пришлось выложить круглую сумму за сертификат, подписанный VeriSign. С декабря 2006 года, XMPP ICA выдает бесплатные сертификаты администраторам Jabber/XMPP серверов, и темпы выдачи все нарастают. Это позволяет нам представить тот день, когда ваш IM-сервис будет принимать соединения только от тех серверов, которые имеют правильные цифровые сертификаты. В тот день возникнет "доверенная федерация".
В какие сроки будет реально переключить всю Jabber-сеть на строго безопасные соединения? Я не уверен. Сейчас в сети около 100 000 серверов, а XMPP ICA выдало менее 1000 сертификатов. Покрытие составляет менее 1% (хотя администраторы могут получить сертификаты и из других источников, так что реальное покрытие может быть немного выше). Но процесс получения сертификата сравнительно прост, да и цена по карману любому(бесплатно). Так что нет никаких серьезных препятствий перед получением настоящего цифрового сертификата для вашего XMPP сервера.
Идея: почему бы не превратить сеть Jabber в "доверенную федерацию" к десятой годовщине создания технологий Jabber? Поскольку Jer выпустил первый код Jabber 4 января 1999, мы собираемся произвести перевод к 4 января 2009. Сначала нам следует обучить администраторов серверов, подтолкнуть выдачу сертификатов на xmpp.net, убедиться что все существующие реализации серверов правильно обрабатывают сертификаты, и так далее. Но я считаю это возможным.
В конце концов, в тот день мы могли бы переключить несколько главных XMPP сервисов (вроде Jabber.org) на строго безопасные подключения и посмотреть как другие админы будут в спешке производить апгрейд! :)
Источник: https://stpeter.im/?p=2136
