Difference between revisions of "Trusted Federation"

From JaWiki (Jabber/XMPP wiki)
Jump to: navigation, search
(запилил статью)
 
m (Перевод сообщения от StPeter: интервики)
 
Line 10: Line 10:
 
представилась бы как whitehouse.gov или paypal.com. Я называю это "неразборчивая федерация". Возможности для спама были неограниченными, и мы бы скатились к той же ситуации, в которой сейчас находится e-mail. Нам нужно было что-то получше.
 
представилась бы как whitehouse.gov или paypal.com. Я называю это "неразборчивая федерация". Возможности для спама были неограниченными, и мы бы скатились к той же ситуации, в которой сейчас находится e-mail. Нам нужно было что-то получше.
  
Тогда [[Jer]] придумал "[[Server dialback]]" и выпустил jabberd 1.2. Теперь ваш Jabber-сервер не принял бы подключение, не убедившись что его "собеседник", как минимум, может продемонстрировать стабильную и корректную идентичность, по крайней мере в плане [[DNS]]. Я называю это "проверенная федерация".
+
Тогда [[Jer]] придумал "[[Server dialback]]" и выпустил jabberd 1.2. Теперь ваш Jabber-сервер не принял бы подключение, не убедившись что его "собеседник", как минимум, может продемонстрировать стабильную и корректную идентичность, по крайней мере в плане {{w|DNS}}. Я называю это "проверенная федерация".
  
 
В то же время мы определили специальный порт для защищенных SSL подключений [[C2S|"клиент-сервер"]] (5223 вместо 5222). Но мы никогда не определяли такой порт для подключений [[S2S|"сервер-сервер"]] (скажем, 5270 вместо 5269), так что все, что мы могли сделать для s2s - dialback.
 
В то же время мы определили специальный порт для защищенных SSL подключений [[C2S|"клиент-сервер"]] (5223 вместо 5222). Но мы никогда не определяли такой порт для подключений [[S2S|"сервер-сервер"]] (скажем, 5270 вместо 5269), так что все, что мы могли сделать для s2s - dialback.

Latest revision as of 21:59, 18 August 2009

Информации мало или она отсутствует

Пока в данной статье мало информации. Приносим извинения.

Если вы хотите написать по теме, — сделайте это.

Trusted Federation - концепция, выдвинутая Советом XMPP в начале 2008 года. Вкратце, её суть заключается в свободной выдаче желающим владельцам jabber-серверов SSL-сертификатов, и в рекомендации ограничить S2S-контакты с серверами, не имеющими сертификата.

Перевод сообщения от StPeter[edit]

ToDo: улучшить

В начале был jabberd 1.0, и это было хорошо.

Но затем возникла проблема: он был принял подключение даже если другая сторона сообщила бы ложную информацию о себе, например, представилась бы как whitehouse.gov или paypal.com. Я называю это "неразборчивая федерация". Возможности для спама были неограниченными, и мы бы скатились к той же ситуации, в которой сейчас находится e-mail. Нам нужно было что-то получше.

Тогда Jer придумал "Server dialback" и выпустил jabberd 1.2. Теперь ваш Jabber-сервер не принял бы подключение, не убедившись что его "собеседник", как минимум, может продемонстрировать стабильную и корректную идентичность, по крайней мере в плане DNS. Я называю это "проверенная федерация".

В то же время мы определили специальный порт для защищенных SSL подключений "клиент-сервер" (5223 вместо 5222). Но мы никогда не определяли такой порт для подключений "сервер-сервер" (скажем, 5270 вместо 5269), так что все, что мы могли сделать для s2s - dialback.

Затем мы отправили ключевые технологии Jabber в IETF для формализации, включая оценку безопасности. В результате мы добавили поддержку TLS в XML-потоки, или, точнее, STARTTLS (позволяющий вам "улучшить" c2s или s2s подключение с нешифрованного до шифрованного). Это дало нам возможность созать "безопасную федерацию": соединения "сервер-сервер", зашифрованные с помощью цифровых сертификатов.

Обычно администраторы генерировали так называемые самоподписанные сертификаты. Другими словами, делали их из ничего. Это как если бы я сам выдал себе водительские права. Может, это и выглядит красиво, но нет никаких оснований для доверия.

Таким образом, за "проверенной федерацией" и "безопасной федерацией" следует то, что я называю "доверенной федерацией": соединения "сервер-сервер", зашифрованные с помощью цифровых сертификатов, исходящих из доверенного источника.

Но где администраторы возьмут эти сертификаты? В старые недобрые времена вам бы пришлось выложить круглую сумму за сертификат, подписанный VeriSign. С декабря 2006 года, XMPP ICA выдает бесплатные сертификаты администраторам Jabber/XMPP серверов, и темпы выдачи все нарастают. Это позволяет нам представить тот день, когда ваш IM-сервис будет принимать соединения только от тех серверов, которые имеют правильные цифровые сертификаты. В тот день возникнет "доверенная федерация".

В какие сроки будет реально переключить всю Jabber-сеть на строго безопасные соединения? Я не уверен. Сейчас в сети около 100 000 серверов, а XMPP ICA выдало менее 1000 сертификатов. Покрытие составляет менее 1% (хотя администраторы могут получить сертификаты и из других источников, так что реальное покрытие может быть немного выше). Но процесс получения сертификата сравнительно прост, да и цена по карману любому(бесплатно). Так что нет никаких серьезных препятствий перед получением настоящего цифрового сертификата для вашего XMPP сервера.

Идея: почему бы не превратить сеть Jabber в "доверенную федерацию" к десятой годовщине создания технологий Jabber? Поскольку Jer выпустил первый код Jabber 4 января 1999, мы собираемся произвести перевод к 4 января 2009. Сначала нам следует обучить администраторов серверов, подтолкнуть выдачу сертификатов на xmpp.net, убедиться что все существующие реализации серверов правильно обрабатывают сертификаты, и так далее. Но я считаю это возможным.

В конце концов, в тот день мы могли бы переключить несколько главных XMPP сервисов (вроде Jabber.org) на строго безопасные подключения и посмотреть как другие админы будут в спешке производить апгрейд! :)

Источник: https://stpeter.im/?p=2136

Текущее состояние[edit]

ToDo: написать

См. также[edit]