XMPP安全机制的实现.docVIP

XMPP的安全机制： 1）在客户端-服务器通讯模式里：客户端必须支持 TLS 和 SASL 握手协议。 2）在服务器-服务器通讯模式里：服务器必须支持 TLS 和 SASL 来完成跨域的通讯。 3）必须实现的技术：SASL[DIGEST MD5] 用来身份认证； TLS 使用TLS_RSA_WITH_ 3DES_EDE_CBC_SHA 密 码来完成数据加密。 4）防火墙：XMPP 通讯发生在 TCP 连接之上，端口是 5222（客户端到服务器），5269（服务器到服务器）。通过防火墙设置，可以简单的实现对 XMPP 的开启和关闭。 TLS（Transport Layer Security，传输层安全协议） TLS 协议包括两层：TLS 握手协议与 TLS 记录协议。（i）TLS 握手协议是用来让客户端与服务器在传输应用层的数据之前交换 TLS 协议版本信息、协商加密算法、进行（相互）身份认证、交换相应的密钥。（ii）TLS 记录协议则是用来将应用层提供的信息进行分组、压缩、对数据完整性的检查、对数据进行加密。数据完整性检查是通过比较 MAC 值是否一致来完成的，该值是传输前后使用安全散列函数（如 SHA 和 MD5 等）计算出来的数据的 MAC 值。 发送方与接收方使用TLS保证流的安全性时，通常步骤如下： 1 发送实体打开一个 TCP 连接，然后通过给接收实体发送 XML 流的头部来开启这个会话，通常还是设置协议版本值； 2 接收实体打开一个 TCP 连接，返回一个 XML 的头给发送实体，也要包括协议版本； 3 接收实体提供了 STARTTLS 扩展给发送实体，接收实体是将此扩展包含在一系列其他的流特性中的； 4 发送实体处理 STARTTLS 命令； 5 接收实体必须返回一个 元素或者 元素。如果发生了失败，接收实体必须马上终止 TCP 连接和 XML 流；如果成功，两方实体必须去利用 TCP 连接完成 TLS 协商，在协商完成之前，双方都不能发送任何 XML 数据； 6 发送实体和接收实体按照 TLS 规定完成 TLS 协商； 7 TLS 协商成功，发送实体通过发送一个 XML 流来开启一个新的 XML传输； 8 接收到发送实体发来的新的 XML 流，接收实体回复一个 XML 流，其中包含了一些其他可用的特征。 SASL Simple Authentication and Security Layer，简单认证和安全层 SASL提供 KERBEROS_ V4，PLAIN 和 DIGEST-MDS 等多种认证方法。认证过程中，认证服务器完成认证、授权标识传送、简单认证和安全层协商三方面的工作。 SASL通常步骤如下： 1 发送实体在请求 SASL 认证的 XML 流中加入版本信息； 2 接收实体返回一系列可用的 SASL 认证机制； 3 发送实体选择其中的一种机制，并再返回信息中包含一个合适的属性值； 4 如果有必要的话，接收实体将会发送一个 元素给发送实体以证实发送实体的身份； 5 作为对 的回应，发送实体给接收实体回复一个 ； 6 如果必要，接收实体可以多次发送 然后发送实体给予多次 。