Vindicar: /* Перевод сообщения от StPeter */ интервики

2009-08-18T20:59:16Z

‎Перевод сообщения от StPeter: интервики

Vindicar: запилил статью

2009-08-12T09:14:59Z

запилил статью

New page

{{stub}}
Trusted Federation - концепция, выдвинутая [[Совет XMPP|Советом XMPP]] в начале 2008 года.
Вкратце, её суть заключается в свободной выдаче желающим владельцам jabber-серверов [[SSL]]-[[w:Сертификат_(криптография)|сертификатов]], и в рекомендации ограничить [[S2S]]-контакты с серверами, не имеющими сертификата.

== Перевод сообщения от [[StPeter]] ==
{{todo|улучшить}}
В начале был [[jabberd]] 1.0, и это было хорошо.

Но затем возникла проблема: он был принял подключение даже если другая сторона сообщила бы ложную информацию о себе, например,
представилась бы как whitehouse.gov или paypal.com. Я называю это "неразборчивая федерация". Возможности для спама были неограниченными, и мы бы скатились к той же ситуации, в которой сейчас находится e-mail. Нам нужно было что-то получше.

Тогда [[Jer]] придумал "[[Server dialback]]" и выпустил jabberd 1.2. Теперь ваш Jabber-сервер не принял бы подключение, не убедившись что его "собеседник", как минимум, может продемонстрировать стабильную и корректную идентичность, по крайней мере в плане [[DNS]]. Я называю это "проверенная федерация".

В то же время мы определили специальный порт для защищенных SSL подключений [[C2S|"клиент-сервер"]] (5223 вместо 5222). Но мы никогда не определяли такой порт для подключений [[S2S|"сервер-сервер"]] (скажем, 5270 вместо 5269), так что все, что мы могли сделать для s2s - dialback.

Затем мы отправили ключевые технологии Jabber в {{w|IETF}} для формализации, включая оценку безопасности. В результате мы добавили поддержку [[TLS]] в [[XML-поток|XML-потоки]], или, точнее, [[STARTTLS]] (позволяющий вам "улучшить" c2s или s2s подключение с нешифрованного до шифрованного). Это дало нам возможность созать "безопасную федерацию": соединения "сервер-сервер", зашифрованные с помощью цифровых сертификатов.

Обычно администраторы генерировали так называемые самоподписанные сертификаты. Другими словами, делали их из ничего. Это как если бы я сам выдал себе водительские права. Может, это и выглядит красиво, но нет никаких оснований для доверия.

Таким образом, за "проверенной федерацией" и "безопасной федерацией" следует то, что я называю "доверенной федерацией": соединения "сервер-сервер", зашифрованные с помощью цифровых сертификатов, исходящих из доверенного источника.

Но где администраторы возьмут эти сертификаты? В старые недобрые времена вам бы пришлось выложить круглую сумму за сертификат, подписанный {{w|VeriSign}}.

С декабря 2006 года, [[XMPP ICA]] выдает бесплатные сертификаты администраторам Jabber/XMPP серверов, и темпы выдачи все нарастают. Это позволяет нам представить тот день, когда ваш IM-сервис будет принимать соединения только от тех серверов, которые имеют правильные цифровые сертификаты. В тот день возникнет "доверенная федерация".

В какие сроки будет реально переключить всю Jabber-сеть на строго безопасные соединения? Я не уверен. Сейчас в сети около 100 000 серверов, а XMPP ICA выдало менее 1000 сертификатов. Покрытие составляет менее 1% (хотя администраторы могут получить сертификаты и из других источников, так что реальное покрытие может быть немного выше). Но процесс получения сертификата сравнительно прост, да и цена по карману любому(бесплатно). Так что нет никаких серьезных препятствий перед получением настоящего цифрового сертификата для вашего XMPP сервера.

Идея: почему бы не превратить сеть Jabber в "доверенную федерацию" к десятой годовщине создания технологий Jabber? Поскольку Jer выпустил первый код Jabber 4 января 1999, мы собираемся произвести перевод к 4 января 2009. Сначала нам следует обучить администраторов серверов, подтолкнуть выдачу сертификатов на xmpp.net, убедиться что все существующие реализации серверов правильно обрабатывают сертификаты, и так далее. Но я считаю это возможным.

В конце концов, в тот день мы могли бы переключить несколько главных XMPP сервисов (вроде Jabber.org) на строго безопасные подключения и посмотреть как другие админы будут в спешке производить апгрейд! :)

Источник: https://stpeter.im/?p=2136

== Текущее состояние ==
{{todo|написать}}

== См. также ==
* [[SSL]]/[[TLS]]
* [[S2S]]
* [[SPIM]]

[[Category:Термины]]

@@ Line 10: / Line 10: @@
 представилась бы как whitehouse.gov или paypal.com. Я называю это "неразборчивая федерация". Возможности для спама были неограниченными, и мы бы скатились к той же ситуации, в которой сейчас находится e-mail. Нам нужно было что-то получше.
-Тогда [[Jer]] придумал "[[Server dialback]]" и выпустил jabberd 1.2. Теперь ваш Jabber-сервер не принял бы подключение, не убедившись что его "собеседник", как минимум, может продемонстрировать стабильную и корректную идентичность, по крайней мере в плане [[DNS]]. Я называю это "проверенная федерация".
+Тогда [[Jer]] придумал "[[Server dialback]]" и выпустил jabberd 1.2. Теперь ваш Jabber-сервер не принял бы подключение, не убедившись что его "собеседник", как минимум, может продемонстрировать стабильную и корректную идентичность, по крайней мере в плане {{w|DNS}}. Я называю это "проверенная федерация".
 В то же время мы определили специальный порт для защищенных SSL подключений [[C2S|"клиент-сервер"]] (5223 вместо 5222). Но мы никогда не определяли такой порт для подключений [[S2S|"сервер-сервер"]] (скажем, 5270 вместо 5269), так что все, что мы могли сделать для s2s - dialback.

Trusted Federation - Revision history

Vindicar: /* Перевод сообщения от StPeter */ интервики

Vindicar: запилил статью