Czemu serwer XMPP dobreprogramy nie ma tak dobrej oceny?

Saver · 23 Marzec 2014 11:42

Zrobiłem test serwera xmpp dobreprogramy.im i jestem zszokowany wynikiem. Ocena F. Wynik

W przeciwienstwie do mojego serwera **********, wygląda nieco lepiej. Ocena A- Wynik

Czemu taki duży serwis jak dobreprogramy nie zajmą się poprawnym certifikatem dla swojego serwera xmpp?

Forum i Portal zrobiony jest przepiękne a XMPP ma bardzo słabą ocene. Poprawcie to.

tomeeek64 · 23 Marzec 2014 11:45

Dzieje się tak, ponieważ serwer dobrychprogramów korzysta z niezaufanego certyfikatu SSL o niskiej sile szyfrowania. Przynajmniej tyle wynika z tego raportu.

Saver · 23 Marzec 2014 12:00

To czemu nie zrobią cobie nowy certifikat np. CaCert z 4096 bits szyfrowaniem?

To nic nie kosztuje, a poprawi bezpieczeństwo.

Semtex · 23 Marzec 2014 12:05

Podesłałem link do tematu na “Górę”, może się odniosą. Sam jestem zainteresowany tym tematem, bo korzystam z XMPP DP jako głównego konta. Zobaczmy co z tego wyjdzie

tomeeek64 · 23 Marzec 2014 12:23

Certyfikaty z CACert nie są zaufane - są wydawane przez społeczność i są traktowane na równi z tymi “self-signed”. Poziom bezpieczeństwa by się podniósł, ale ocena na stonie nie.

W tym celu byłby potrzebny certyfikat typu Comodo, Thawte, VeriSign, GeoTrust, Certum, StartSSL itp.

CACert to tak jakbym ja wygenerował dobrymprogramom certyfikat lub jeden z Administratorów to zrobił - taki SSL będzie postrzegany jako niezaufany.

Celowo wystawiłem sam sobie bezużyteczny certyfikat (bez moich danych). Można go zapisać jako dokument tekstowy z rozszerzeniem .crt i zobzczyć, że jest niezaufany. TAki certyfikat jest prawie bezużyteczny.

Docent · 23 Marzec 2014 13:13

Zdaję sobie sprawę, że czerwona ocena F wygląda gorzej niż zielone A, ale tak naprawdę fakt że certyfikat jest niezaufany ma na bezpieczeństwo wpływ niewielki, znacznie mniejszy niż używanie 1024-bitowego klucza, który faktycznie jest zbyt “krótki” jak na dzisiejsze realia, ale też nie popadajmy w paranoję. Wydaje mi się, że te testy to trochę “sztuka dla sztuki”, podobnie jak Performance index w Windows, który przyznaje wypasionemu komputerowi z cząstkowymi ocenami 5.9 ocenę końcową 2.0, bo komputer ten ma zintegrowaną grafikę, z której programista - posiadacz tego komputera - w ogóle nie korzysta.

Prawda jest też taka, że wdrożenie XMPP na naszym portalu odbyło się niejako testowo - nigdy niestety serwer ten nie osiągnął oczekiwanej przez nas popularności, stąd też nie rozwijaliśmy go priorytetowo. Na dodatek projekt Openfire, z którego korzystamy bo to jedyny sensowny serwer XMPP na Windows, zaliczył w krótkim czasie po naszym starcie padakę - wyglądało że nie będzie już rozwijany, nie było żadnego wsparcia. Teraz to się zaczęło zmieniać, pojawiają się nowe wersje, więc może faktycznie powrócimy do tego tematu. Mimo tego nie siałbym paniki, że nasz serwer jest niebezpieczny. Poziom zabezpieczeń jest moim zdaniem zadowalający: nie jest najwyższy z możliwych, ale ewentualne jego sforsowanie byłoby raczej mało opłacalne i dla atakującego chyba nieprzydatne…

tomeeek64 · 23 Marzec 2014 13:16

Co do Openfire to może warto przeznaczyć jeden serwer na Linuxa, zainstalować ejabberd i będzie po problemie

Natomiast do do certyfikatu to widzę, iż można aktualnie bezpłatnie zdobyć je od Comodo (za pomocą jednego z Resellerów) i od Certum (za pomocą pośrednika).

Docent · 23 Marzec 2014 17:41

Wszystko można, ale tak jak wspominałem - było to wdrożenie testowe, a z usługi skorzystało bardzo mało osób (obecnie jeszcze mniej), więc nie poświęcaliśmy jej zbyt dużo zasobów. Utrzymanie tego serwera na Linuksie kosztowałoby jeszcze więcej pracy i środków. Niemniej w związku z tym że Openfire się ostatnio poprawił, myślę że odświeżymy temat ale na razie nie chciałbym deklarować żadnych rewolucji…

Co do certyfikatu, z tego co pamiętam XMPP wymaga certyfikatu typu wildcard i między innymi dlatego to odpuściliśmy. Tak jak wspominałem, zaufanie certyfikatu jest tutaj sprawą dość marginalną.