Jabber xmpp что это
XMPP — Extensible Messaging and Presence Protocol (англ. расширяемый протокол обмена сообщениями и информацией о присутствии), ранее известный как Jabber (джа́ббер (англ. болтовня, трёп; тарабарщина) — это основанный на XML открытый, свободный для использования протокол для мгновенного обмена сообщениями и информацией о присутствии в режиме, близкому к режиму реального времени. Изначально спроектированный легко расширяемым, протокол, помимо передачи текстовых сообщений, поддерживает передачу голоса, видео и файлов по сети.
В отличие от коммерческих систем мгновенных сообщений, таких, как AIM, ICQ, MSN и Yahoo, XMPP является децентрализованной, расширяемой и открытой системой. Любой желающий может открыть свой сервер мгновенных сообщений, регистрировать на нём пользователей и взаимодействовать с другими серверами XMPP. На основе протокола XMPP уже открыто множество частных и корпоративных серверов XMPP. Среди них есть достаточно крупные проекты, такие как Google Talk, LiveJournal и Gizmo5.
В отличие от других интернет-пейджеров, джаббер больше похож на электронную почту:
• нет нумерации, есть произвольные имена
• джаббер-сервер может запустить любой
• у одного сервера может быть несколько имён (алиасов)
• каждый сервер может свободно общаться с каждым
• возможно безопасное подключение к серверу
• возможно шифрование отправляемых сообщений на уровне клиента
• возможно хранение всей истории чата на сервере
• есть веб-интерфейс
• возможно создание vCard визиток
• подтверждение доставки сообщения
В то же время, джаббер унаследовал некоторые приятные черты чатов:
• отображение статуса собеседника (в т.ч. расширенные статусы)
• многопользовательские комнаты («конференции»)
• боты полезной функциональности
Обзор Jabber клиентов под Windows: _http://habrahabr.ru/blogs/jabber/50776/
Для того, чтобы воспользоваться Jabber, необходимо иметь учётную запись на сервере. Таковую вы можете получить на следующих серверах (список серверов с графическим отображением поддерживаемых транспортов): _http://jabberworld.info/Список_работающих_публичных_серверов_Jabber
В: Как надо произносить «Jabber»?
О: Джаббер.
В: Как зарегистрироваться на сайте? Как зарегистрироваться на сервере?
О: Получить логин и пароль можно:
1. В разделе регистрации на сайте.
2. Через любой джаббер-клиент.
Для входа на сайт нужно использовать полный логин (ваше_имя@jabber.ru) и пароль.
В: Я забыл пароль, что мне делать?
О: Воспользуйтесь формой восстановления пароля: www.jabber.ru/xremind.
Восстановление возможно только при наличии адреса email в вкарде.
В: Что такое транспорт?
О: Сервис, который позволяет разговаривать с пользователями других IM-сетей через единственное подключение.
В: Как мне подключить транспорт ICQ?
О: Подробное описание подключения в Bombus здесь bombus-im.org/wiki/howto/howto_icq. Инструкция подойдет для любого клиента.
В: Я хочу перенести свои контакты из аськи в джаббер с сохранением ников.
О: Скачайте программу QIP Contacts Manager. В этой программе выполните команду «Export» в файл *.clb.
Зарегистрируйтесь на транспорте ICQ.
Откройте файл *.clb в текстовом редакторе.
Введите имя ICQ и содержимое файла *.clb на _www.jabber.ru/jabaddons/qip2jabber.
Нажимайте кнопку. Вы получите данные в формате, подходящем для J.RU.
В: Я хочу перенести свои контакты с одного аккаунта на другой?
О: Можно воспользоваться утилитой JRU _http://www.jabber.ru/jabaddons/jru/jru.php.
В: Я хочу перенести свои контакты с одного транспорта на другой или удалить ненужные контакты?
О: Можно воспользоваться утилитой JRU _http://www.jabber.ru/jabaddons/jru/jru.php.
В: Что такое конференция/комната?
О: Сервис @conference.jabber.ru позволяет создавать комнаты, каждая из которых работает как отдельный чат. Зайти в конференцию можно из любого джаббер-клиента.
В: Как создать конференцию на сервере Jabber.Ru?
О: Новая конференция создается при первом заходе в нее пользователя. Такой пользователь получает права владельца (owner). По умолчанию, конференция временная. После создания комнаты можно изменить ее свойства и сделать постоянной (галочка «Persistent» в свойствах конференции).
В: Чем отличаются участники от модераторов? Кем я могу быть в конференции?
О: Иерархия пользовательских прав существует специально для того, чтобы пользователи путались могли контролировать процесс общения (например, в тематических конференциях).
1. Owner: может всё.
2. Admin
3. Moderator
4. Member
5. None
6. Participant
Для новичков рекомендую Jimm Aspro.
Из WМ клиентов альтернативы Talkonaut’у не вижу.
это из тех клиентов, темы для которых созданы на форуме. однако, ни один из перечисленных не имеет поддержки конференций. из клиентов с поддержкой оных есть OneTeam и japyt(это не совсем клиент, работает по принципу прокси c любым jabber-клиентом, написан на python Disabler’ом).
Преимущества транспортов
Транспорты настраиваются один раз и не зависят от клиента, с которого их используют. Подключив шлюзы с Jabber-клиента на домашнем компьютере, не требуется подключать их на мобильном телефоне и ноутбуке.
При прямом использовании нескольких сетей (через многопротокольные клиенты) может значительно возрасти количество передаваемых данных. Транспорты же потребляют гораздо меньше трафика, особенно если подключенных сетей много.
Транспорты, дающие доступ к специальным ботам позволяют создать из своего Jabber-клиента универсальный инструмент, объединяющий в себе, к примеру, RSS-читалку, почтовый клиент, словари и переводчики, а также средство для просмотра погоды и отправки СМС.
Примеры использования таких транспортов:
Я бы в Джабберы пошёл…
Сначала я напишу пару вводных слов про джаббер, затем как быстро начать им пользоваться, чуть ниже как с ним познакомится, а в конце ссылки для любопытных. Не стесняйтесь прокручивать, если содержимое очередной части вам покажется известным.
Введение и пара оговорок
Джаббер (Jabber) — протокол мгновенного обмена сообщениями. Хотя Jabber правильнее называть XMPP — расширяемый протокол обмена сообщениями и индикацией присутствия.
Уже хочу, дайте
Весьма вероятно, что у вас уже есть джаббер аккаунт, а вы об этом даже не подозреваете. Проверим!
У вас есть почта на Google? ваш_ник@gmail.com
У вас есть почта на Яндексе? ваш_ник@ya.ru
Вы зарегестрированы в ЖЖ? ваш_ник@livejournal.com 9
Вы устанавливали QIP Infium? ваш_ник@qip.ru
Как бы им воспользоваться?
С QIP Infium нет никаких проблем: вы уже пользуетесь джаббером, если зарегестрировались при установке. Если же нет, легко наверстать.
Окошко чата гугла вы могли видеть, когда заходили в свою гуглопочту, можно общаться оттуда. Также существуют отдельные GTalk клиент и гаджет. И, если гаджет — веб-приложение, то GTalk есть только под Windows и Blackberry.
У Яндекса сразу нет веб-приложения, зато предлагается программа для общения Я.Онлайн под Win, а в рамках проекта Яндекс.Нано можно скачать версии для Mac OS X, Ubuntu и исходные коды.
ЖЖ без особых выкрутасов предлагает воспользоваться сторонними программами.
А если без революций?
Вероятно, вы уже пользуетесь каким-нибудь интернет-пейджером. И он так вам нравится, что вы не хотите его менять… проверьте по списку, поддерживает ли он джаббер. Если не поддерживает, подумайте о смене клиента, как бы грусто это ни было… или установке второго, параллельно, на попробовать.
В большинстве мультипротокольных клиентов (Miranda, Sim-IM, Pidgin) уже встроена поддержка джаббера. Причём обычно в панели настроек можно указать сервер и зарегистрироваться на нём (да-да, в один-два клика). Нужны только настройки…
NB: некоторые клиенты понимают логин как ваш_ник@джаббер.сервер.im, а некоторые разделяют JID на ваш_ник как имя пользователя и джаббер.сервер.im как сервер логина. В зависимости от клиента, вам необходмо будет ввести данные тем или иным способом. Чтобы не повторяться много раз, я опускаю из настроек поля имя пользователя и пароль, и указываю, если нужны, дополнительные специфические поля.
QIP:
Сервер (Login server): qip.ru
Использовать SSL: да
Порт: 5223
Яндекс [пример]
Сервер (Login server): ya.ru
Использовать SSL: да
Порт: 5223
Сервер подключения (Connection host): xmpp.yandex.ru
Порт: 5223
Поддерживать соединение (Connection keepalive): да
Google [примеры]
Сервер (Login server): gmail.com
Использовать SSL: да
Порт: 5223
Сервер подключения (Connection host): talk.google.com
Порт: 5223
Поддерживать соединение (Connection keepalive): да
LiveJournal [пример]
Сервер (Login server): livejournal.com
Использовать SSL: нет
Порт: 5222
Поддерживать соединение (Connection keepalive): да
Кого хочу, не знаю.
Вам не нравится ни один из предложенных выше серверов? У вас есть подозрения в искренности мыслей интернет-гигантов? Вам не хватает «транспорта» в другие сети? Выбирайте любой публичный джаббер сервер по любому критерию который больше нравится: время непрерывной работы, наличие шлюзов в другие сети, дополнительные функции 10 … Несколько список я приготовил в ссылках.
И не забудьте агитировать друзей переключиться на Jabber 😉
Побочные мысли, или куда дальше?
То, что джаббером заинтересовались в Циске, о чём-то уже говорит. Но опыт показывает, что Циска часто пытается или пропихнуть в стандарты свои разработки, или доработать имеющиеся стандарты под свои нужды, причём пилой, а не надфилем. во что может превратиться джаббер под руководством инженеров и программистов Циски, мы через какое-то время узнаем из анонса новых (tele-)presence и collaboration продуктов. Здесь они хотят серьёзно побороться за то поле совместной работы в компании, которое сейчас окучивают Лотус и АйБиЭм.
Сейчас в джаббере мало спама. Заранее прорабатываются идеи, как можно от него защититься. Однако, боюсь, эта борьба, как щита и меча, вечна. И дело только в том, когда джаббер наберёт достаточную популярность для того, чтобы им заинтересовались.
У конференций-комнат Джаббера есть интересная особенность: логи некоторых комнат, если это настроено администратором, могут регулярно вестись и выкладываться в общий доступ. Обычно об этом прямо написано на сайте джаббер-сервера. К примеру, посмотрите на полуживые волгоградские логи.
Так ли плох XMPP, как его малюют? Каким Jabber стал сегодня
Часто при обсуждении мессенджеров, при упоминании XMPP можно услышать слова:
Привет из двухтысячных! Неужели кто-то еще пользуется устаревшим протоколом? В XMPP до сих пор нет доставки файлов, сообщений, синхронизации, красивых клиентов?
Причина мифов о XMPP в том, что многим Jabber известен по мессенджерам из далеких двухтысячных годов и плохой осведомленности о особенностях XMPP. С двухтысячных прошло много времени, протокол продолжил существовать и активно развиваться. Современный Jabber уже сильно не похож на тот, который был раньше.
В этой статье мы рассмотрим для чего создавался XMPP, обсудим в комментариях причины снижения его популярности и каким Jabber стал сегодня
Предыстория
В двухтысячных годах у большинства интернет-гигантов были развернуты XMPP сервера. С одного сервера можно было написать на другой и вот уже казалось, если технологию немного доделать появится e-mail 2.0, универсальный мессенджер для всего Интернета, но тут что-то пошло не так. Компании перестали обновлять XMPP-клиенты. Широкого анонса поддержки XMPP не было. Сервера постепенно стали закрывать передачу сообщений на другие, а после вовсе технология была объявлена устаревшей и поддержку свернули.
Для чего создавался XMPP?
XMPP — расширяемый протокол для обмена сообщениями. XMPP создавался как универсальное средство взаимодействия между разными месенджерами. Предполагалось, что крупные компании могут добавить свои расширения и безболезненно интегрировать свои месенджеры и сервера в единую сеть. XMPP не требует полной совместимости, за исключение базового обмена сообщениями и поэтому никто не может всем навязать определенный стек технологий.
XMPP рассматривался как замена e-mail. Даже вид контакта в XMPP внешне похож на e-mail адрес: user@example.com Ожидалось, правительственные учреждения и компании будут использовать Jabber для быстрого развертывания своих приватных систем коммуникаций. Настройки Jabber серверов позволяют ограничивать доступ к серверу и групповым чатам посторонних или наоборот открывать. На XMPP можно создавать закрытые сети из серверов, чем и воспользовалось NSA. По материалам Сноудена, XMPP используется как внутреннее средство связи:
NSA documents obtained by Edward Snowden and reported on by Der Spiegel on Sunday reveal that the agency communicates internally with Jabber, an open source messaging service used by hackers and activists trying to skirt the NSA’s internet surveillance dragnet.
Источник: motherboard.vice.com
Причины падения XMPP
Казалось бы, технология перспективная, но крупные компании быстро потеряли интерес к XMPP. Предполагалось то, что будет работать в идеальном мире, наткнулось на жесткую реальность.
Основной материальный капитал любой крупной интернет-компании — это база пользователей. Многие компании сделали свой бизнес на предоставлении e-mail серверов и закрытых мессенджеров. Если e-mail сервер создать относительно сложно, написать собственный мессенджер еще сложнее, поднять XMPP сервер может любой человек с небольшими познаниями в Linux.
Поддерживать открытый XMPP сервер — это значит дать доступ к клиентской базе множеству мелких конкурентов. Не думаю, что эта ситуация могла понравиться крупным компаниям и инвестирование прекратилось.
«Устаревший и никому ненужный XMPP» как золотая жила! Закрываем S2S, пишем клиенты и зарабатываем миллиарды!
Funny thing is that a couple of year laters in june 2009, Whatsapp team is building its own platform sharing the same vision. Here is a post of Jan Koum on ejabberd mailing list: client access control:
«Hi there,i installed ejabberd today, got it work with adium/ichat and wanted to ask
you all a couple of things» — blog.process-one.net
Причину этого понять легко, потому что «устаревший, избыточный и никому ненужный» XMPP выдерживает 2 000 000 на одной ноде! Если отбросить популизм, в частности речь идет про Ejabberd.
2 000 000 активных соединения. График нагрузки CPU и потребления памяти:
Если Jabber ID заменить на телефонные номера, подписки сопоставить с нахождением номеров в адресной книге, получаем почти полностью готовый продукт с минимумом затрат.
Ejabber поддерживает множество баз данных и соединений с сервером, не только классическим для XMPP способом, но через Websoсket, HTTP запросы и Ejabberd API. На Ejabberd можно создать мессенджер с тысячами онлайн подключений на дешевом VPS, за пару долларов получаем промышленную отказоустойчивость и стабильность работы. Этим выгодно выделяется Ejabberd, по сравнению с множеством других систем обмена сообщениями, падающих от малых нагрузок.
Модифицированные версии XMPP используют многие проприетарные мессенджеры, для быстрого старта с минимумом затрат. Примеров успешного использования ХМPP серверов, как средства для доставки сообщений много. Знаменитая онлайн игра «EVE Online» недавно перевела чаты на Ejabberd. Мессенджер Cryptocat во многом построен на XMPP. Ходят даже слухи, что великий и могущественный Facebook как-то использует XMPP в своих проектах.
Раньше в XMPP была проблема с доставкой сообщений и синхронизацией устройств, как решена она сейчас?
Для доставки сообщений в XMPP используются расширения:
Раньше в XMPP была проблема с доставкой файлов, как решена она сейчас?
Как дела обстоят с красивыми клиентами в XMPP?
Понятие красоты у всех разное. Некоторые люди в бьются об заклад и говорят что их любимый Gajim, PSI+ и даже Profany самые красивые и самые лучшие, но на Андроид общепризнанный лидер — Conversations.
Ссылка на другие скриншоты и страницу в Play Маркет. Примечание: В настройках Conversations можно включить статус отображения собеседника на кнопке отправки и статус отображения доставки сообщений. Сервер conversations.im, выбираемый по-умолчанию, платный после 6 месяцев использования. Для постоянного использования лучше выбрать другой XMPP сервер, такой как 404.city. Город 404 — это сервер сообщества киберпанков. 404.city официально занимается поддержкой совместимости со всеми версиями Conversations. Ну или поискать сервер здесь.
Какие есть особенности у XMPP? Почему у одних все работает отлично, а другие сталкиваются с трудностями?
Вывод
XMPP не такой простой и устаревший, каким он кажется. XMPP — это идея объединения всех мессенджеров и сайтов (любой может поднять свой сервер) единым стандартом коммуникации. XMPP — это прекрасный инструмент для создания отказоустойчивых мессенджеров в руках разработчика. Jabber — это неплохая свободная альтернатива WhatsApp и другим мессенджерам, в руках пользователей ознакомленных с особенностями его работы.
XMPP — это тема, которую сложно описать в двух словах. Если Вас заинтересовала моя статья, Вам возможно будут интересны так же эти ссылки:
Возможности XMPP и Jabber клиенты
Возникла необходимость использовать одну учетную запись Jabber для нескольких пользователей. Почитав RFC наткнулся на приоритеты для ресурсов в XMPP. Это то что мне нужно! На практике не все оказалось столь радужным. На мой взгляд многие популярные клиенты не правильно поддерживают протокол.
Идея заключалась в том что клиенты соединяться с Jabber сервером с одной учетной записи но с разных ресурсов и с отрицательным приоритетом.
Поведение сервера в данном случае описано в XMPP IM RFC:
11.1. Inbound Stanzas 1.4.1:
For message stanzas, the server SHOULD deliver the stanza to the highest-priority available resource (if the resource did not provide a value for the
element, the server SHOULD consider it to have provided a value of zero). If two or more available resources have the same priority, the server MAY use some other rule (e.g., most recent connect time, most recent activity time, or highest availability as determined by some hierarchy of values) to choose between them or MAY deliver the message to all such resources. However, the server MUST NOT deliver the stanza to an available resource with a negative priority; if the only available resource has a negative priority, the server SHOULD handle the message as if there were no available resources (defined below). In addition, the server MUST NOT rewrite the ‘to’ attribute (i.e., it MUST leave it as rather than change it to ).
То есть сообщение будет доставлено либо client@example.com/resource1 либо любому другому ресурсе с наивысшим не отрицательным приоритетом. Пока меня все устраивало и только радовало.
Потом в этом же XMPP IM RFC я почитал о том как должны вести себя Jabber клиенты с ресурсами:
Как я это понял если чат начат не этим клиентом то он должен отсылать ответ на полный JID(с ресурсом) во всех случаях кроме того когда инициализатор чата через presence сообщил что этот ресурс недоступен.
На практике все так и есть в случае если оба клиента видят друг друга. В случае с не авторизованными клиентами поведение несколько отличается… Посмотрим на общение через миранду между не авторизованными пользователями:
Я создал нового пользователя(client1@example.com) на своем сервере и подключился к нему из миранды: 
После этого я отправил этому пользователю(client1@example.com) 2 сообщения от client@example.com/resource1 и client@example.com/resource2 и сильно удивился их общению…
вот так миранда показала мне эти сообщения: 
А просканировав их общение я увидел следующие:
message type =’chat’ from =’client@example.com/resource1′ to =’client1@example.com’ id =’uid12′ >
body > сообщение с resource1 body >
thread > uid11 thread >
x xmlns =’jabber:x:event’ >
offline/>
delivered/>
displayed/>
composing/>
x >
active xmlns =’http://jabber.org/protocol/chatstates’/>
message >
message type =’chat’ from =’client@example.com/resource2′ to =’client1@example.com’ id =’uid6′ >
body > сообщение с resource2 body >
thread > uid5 thread >
x xmlns =’jabber:x:event’ >
offline/>
delivered/>
displayed/>
composing/>
x >
active xmlns =’http://jabber.org/protocol/chatstates’/>
message >
А ответ миранда послала вот так:
message from =’client1@example.com/Miranda’ to =’client@example.com’ xml:lang =’en’ type =’chat’ id =’mir_12′ >
body > ответ из миранды body >
message >
Ни один из клиентов не посылал тега presence миранде, да и не должен был потому как они не авторизованы и не сообщают друг другу о своем присутствии. Из всего этого я сделал вывод что миранда не соблюдает RFC. Если я где то не прав сообщите пожалуйста.
Безопасность систем мгновенного обмена сообщениями на базе протокола XMPP: настоящее и будущее
Все чаще многие используют решения на основе протокола XMPP (Jabber) для мгновенного обмена сообщениями, в той или иной степени отказываясь от ICQ. Данный подход, безусловно, является правильным ввиду открытости Jabber – каждый может выбрать какой сервер ему использовать или же вовсе организовать работу своего собственного. Также протокол XMPP прекрасно себя зарекомендовал в корпоративной среде и многие компании уже несколько лет успешно используют Jabber наравне с электронной почтой для обмена информацией.
Принято считать, что коммуникационные решения на базе протокола Jabber являются наименее уязвимыми с точки зрения информационной безопасности. В данной статье я постараюсь проанализировать так ли это на самом деле и какие реальные перспективы имеет протокол XMPP в этом направлении. Вопрос будет рассмотрен в контексте использования протокола для обмена сообщениями как в личных целях на публичных и частных сервисах, так и в корпоративных условиях.
Jabber для личного общения
Нежелательные сообщения
Для личного общения Jabber массово стал использоваться сравнительно недавно, что обуславливает фактическое отсутствие коммерческого спама (или spim’а в терминологии XMPP Standards Foundation). Я специально акцентировал внимание на отсутствии именно коммерческого спама, поскольку в настоящий момент на крупных jabber-серверах имеют место единичные рассылки, которые организовываются при помощи скриптов на Python «школьниками » just for fun и не направлены на продвижение каких-либо товаров и услуг. В ближайшее время возможно появление коммерческого спама в Jabber, однако массового развития как в ICQ он получить не должен. О предпосылках этого хорошо написано в этом посте.
XMPP является открытым и расширяемым протоколом, что никак не ограничивает разработчиков в написании всевозможных шейперов и фильтров. Так на jabber-сервере qip.ru успешно функционируют URL- и JID-фильтры, а на jabber.ru можно включить в своей конференции muc-фильтр с использованием стороннего сервиса (бота). Плюс ко всему в Jabber имеется возможность активировать privacy-листы, позволяющие пользователю регулировать получение сообщений от контактов, в том числе не из ростера.
Следует отметить, что существует и развивается XEP-0159, описывающий методы блокировки нежелательных сообщений.
Флуд-атаки, направленные на JID пользователя или конференции
На настоящий момент проблема флуд-атак в Jabber все еще остается актуальной. При этом подобного рода атаки на конкретный JID пользователя затруднены во-первых из-за шейперов, ограничивающих на стороне сервера количество передаваемой информации в единицу времени, во-вторых ввиду возможности использования списков приватности.
Атаки на jabber-конференции постепенно отходят в прошлое – бороться с ними можно включив в настройках комнаты защиту капчей (в случае поддержки сервером данного функционала). Однако тут есть обратная сторона медали – при множественных запросах капчи может иметь место отказ в обслуживании как собственно сервиса генерации капчи (что сделает невозможным вход во все чаты на атакуемом сервере, защищенные этим способом), так и ноды в целом.
Безопасность паролей
Один из самых популярных jabber-серверов Ejabberd «из коробки» хранит пароли в открытом виде, но при использовании ODBC возможно реализовать хранение паролей в виде md5-хэша (при помощи этого патча, к примеру).
Вредоносного ПО, компрометирующего пользовательские пароли от JID, очень мало. Как правило, это модификации различных клиентов с открытым исходным кодом, которые распространяются при помощи рассылок в популярных jabber-конференциях. Не так давно была обнаружена вредоносная модификация популярного мобильного jabber-клиента Bombus, которая отправляет введенные JID и пароль на конкретный e-mail (Trojan-PSW.J2ME.Bomzuz.a в классификации Лаборатории Касперского). В данном случае пользователям можно лишь посоветовать остерегаться подобных модификаций и загружать клиентские программы только с официальных/доверенных ресурсов.
Практически все существующие на настоящий момент jabber-серверы никак не защищены от brute force атак, которые пока массово не наблюдаются, но в принципе возможны. Данная ситуация поправима – проблему помогут решить временные блокировки, ограничивающие количество попыток ввода пароля.
Защита передаваемых данных
Практически на всех крупных серверах имеется возможносноть устанавливать защищенные соединения при помощи шифрования ssl/tls, что исключает возможность перехвата паролей и переписки. Шифрование также нетрудно настроить и на своем собственном сервере.
В ICQ некоторое время назад также имелась возможность включить защищенную передачу данных, но после покупки этого сервиса холдингом Mail.Ru Group данная функция перестала работать. Это связано с тем, что компания AOL не продала реализацию данной фичи.
Некоторые клиентские программы позволяют при помощи специального плагина дополнительно шифровать передаваемую информацию с использованием GPG и OTR. При этом необходимо, чтобы такой плагин был установлен у обоих собеседников.
Jabber как средство коммуникации в корпоративной среде
При использовании Jabber в условиях предприятия в основном потенциальную угрозу представляют различного рода сервисы с неограниченным доступом извне (jabber-конференции, транспорты, сервис поиска по vcard – vjud).
Jabber-конференции, безусловно, очень удобное средство коммуникации. Однако довольно часто администраторы корпоративных xmpp-серверов забывают закрывать доступ к конференциям по s2s (то есть для пользователей других серверов) и в общем доступе может оказаться важная корпоративная информация. Также злоумышленники могут организовать флуд-атаку конференций на незащищенном сервисе, что в последствии может привести к отказу в обслуживании xmpp-сервера в целом.
Открытые для пользователей всех серверов транспорты могут помочь злоумышленникам скрыть свой реальный IP (например, если сторонний пользователь зарегистрируется на IRC-транспорте, то он будет заходить в IRC-чаты с IP, который имеет джаббер-сервер предприятия). В случае с иными транспортами (ICQ, MRA и др.) сторонние пользователи могут создать лишнюю нагрузку, снизив тем самым отказоустойчивость сервиса.
Наибольшую опасность представляют собой открытые для общего доступа сервисы поиска по данным из визитной карточки (vjud). Очень часто джаббер-сервер берет данные для vcard из внутренних источников (при использовании LDAP, к примеру) и в итоге в vcard может оказаться закрытая информация о сотруднике (личные и служебные e-mail, номера телефонов, название отдела и даже домашний адрес). Злоумышленники могут организовать автоматизированный поиск через vjud по популярным именам и фамилиям, заполучив тем самым данные, предназначенные для служебного пользования).
Администраторам корпоративных jabber-серверов необходимо внимательнее следить за запускаемыми модулями и отключать или закрывать доступ к неиспользуемым сервисам.
Администраторам как корпоративных, так и частных серверов необходимо внимательнее относиться к политике регистрации новых пользователей. В случае корпоративного сервера открытую регистрацию необходимо запретить вовсе, поскольку учетная запись сотрудника должна заводиться администратором в момент принятия его на работу наравне с другими внутренними учетными записями. В случае с частным сервером целесообразно либо ограничить регистрацию новых учетных записей (например, при помощи капчи), или же отключить данную возможность.
Несмотря на растущую популярность протокола Jabber, угрозы пока носят некоммерческий характер. Тем не менее, в ближайшее время возможна активация коммерческих рассылок нежелательных сообщений, а также сообщений, содержащих вредоносные ссылки. Однако ввиду своей расширяемости протокол позволяет эффективно противостоять подобного рода угрозам и свести к минимуму вероятность получения конечными пользователями нежелательного контента.
Jabber как коммуникационное средство корпоративного назначения достаточно безопасно и надежно, но администраторам серверов следует внимательно следить за уровнем доступа к сервисам.
