1

我正在考虑创建一个非常简单的 XMPP 代理。XMPP 协议以纯文本开始，然后在支持时将套接字转换为 SSL 并继续。

这是一个示例 XMPP 会话，我已将其精简为基本部分：检查功能：

(11:49:48) jabber: Sending (chris@localhost): <?xml version='1.0' ?>
(11:49:48) jabber: Sending (chris@localhost): <stream:stream to='localhost' xmlns='jabber:client' xmlns:stream='http://etherx.jabber.org/streams' version='1.0'>
(11:49:48) jabber: Recv (358): <?xml version='1.0'?><stream:stream xmlns:stream='http://etherx.jabber.org/streams' version='1.0' from='localhost' id='5dea6b36-2da5-485a-8bed-16884e56d6f3' xml:lang='en' xmlns='jabber:client'><stream:features><starttls xmlns='urn:ietf:params:xml:ns:xmpp-tls'><required/></starttls><register xmlns='http://jabber.org/features/iq-register'/></stream:features>

告诉服务器开始在 SSL 中通信并交换密钥：

(11:49:48) jabber: Sending (chris@localhost): <starttls xmlns='urn:ietf:params:xml:ns:xmpp-tls'/>
(11:49:48) jabber: Recv (50): <proceed xmlns='urn:ietf:params:xml:ns:xmpp-tls'/>
(11:49:48) nss: SSL version 3.3 using 256-bit AES with 256-bit SHA256 MAC
Server Auth: 2048-bit RSA, Key Exchange: 2048-bit RSA, Compression: NULL
Cipher Suite Name: TLS_RSA_WITH_AES_256_CBC_SHA256
(11:49:48) certificate: Successfully verified certificate for localhost

我们现在处于 SSL 会话中：

(11:49:48) jabber: Sending (ssl) (chris@localhost): <stream:stream to='localhost' xmlns='jabber:client' xmlns:stream='http://etherx.jabber.org/streams' version='1.0'>
(11:49:48) jabber: Recv (ssl)(447): <?xml version='1.0'?><stream:stream xmlns:stream='http://etherx.jabber.org/streams' version='1.0' from='localhost' id='74a00818-e037-4405-ada1-02bb3dbfe023' xml:lang='en' xmlns='jabber:client'>

当我尝试创建一个 socat SSL“服务器”并使用 Pidgin 连接到它时，我得到了未知的协议：

$ socat openssl-listen:5222,reuseaddr,cert=$HOME/server.pem,cafile=$HOME/client.crt,fork -
2016/01/13 14:00:59 socat[28586] E SSL_accept(): error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol

我用 socat 非 SSL“服务器”尝试了同样的事情，它一直工作到需要更改为 SSL（为了便于阅读，我在此输出中添加了“客户端：”和“服务器：”。所有“服务器： “ 我将行粘贴到终端中）：

$ socat tcp4-listen:5222,reuseaddr,fork -
Client: <?xml version='1.0' ?><stream:stream to='localhost' xmlns='jabber:client' xmlns:stream='http://etherx.jabber.org/streams' version='1.0'>
Server: <?xml version='1.0'?><stream:stream xmlns:stream='http://etherx.jabber.org/streams' version='1.0' from='localhost' id='5dea6b36-2da5-485a-8bed-16884e56d6f3' xml:lang='en' xmlns='jabber:client'><stream:features><starttls xmlns='urn:ietf:params:xml:ns:xmpp-tls'><required/></starttls><register xmlns='http://jabber.org/features/iq-register'/></stream:features>
Client: <starttls xmlns='urn:ietf:params:xml:ns:xmpp-tls'/>
Server: <proceed xmlns='urn:ietf:params:xml:ns:xmpp-tls'/>
Client: tp�C?�f�Q��|_pV��j���=�^(�32g98kf�/<5=

在最后一行，客户端现在正试图在 SSL 中与我们交谈，所以我需要一种方法来告诉 socat 在那时切换到 SSL。Socat 显然对 XMPP 协议一无所知，因此它不知道何时切换。可以告诉 socat 像那样动态切换还是我应该寻找其他方法来做到这一点？

编辑：我做了更多的研究。
许多协议，例如 HTTPS 使用“始终加密”的连接。
XMPP 使用 starttls，这基本上意味着未加密的连接，直到客户端和服务器同意将连接升级为加密。

编辑：我刚刚查看了openssl，它有一个s_client的-starttls，但s_server没有，这向我表明这是一个架构问题，很难知道或被告知何时以及如何将连接升级到加密。

所以我想我真正的问题是，socat 能否处理使用 starttls 的协议，无论是否有一些手动干预来告诉它何时切换？我不认为 openssl 可以。是否有其他工具可以做到这一点，或者我当然应该使用 SSL 库编写自己的工具？

4

1 回答 1

0

有两种使用 SSL/TLS 的方法：
XMPP 使用 STARTTLS，客户端和服务器讨论它们的安全特性，然后客户端请求在通信中的任意点将套接字转换为 TLS。
HTTPS 和其他使用两个套接字，一个用于讨论安全功能，然后通信切换到第二个套接字设置，纯粹用于加密通信。

socat：
不支持 STARTTLS。

openssl：
在客户端支持 STARTTLS： 

openssl s_client -starttls ...

据我所知，在服务器端，每种情况都需要自定义代码。我发现了这个有用的 Python 脚本。

于 2016-01-18T00:38:42.693 回答