ssl - 在 ejabberd 中安装 TLS 证书以进行 STARTTLS 协商

Question

我读到 ejabberd 建议使用 STARTTLS 协商来实现通信实体之间的安全连接。当我安装 ejabberd 时，默认情况下它带有 TLS 证书。

那为什么要买证书安装呢？既然我们有默认证书，从证书颁发机构购买新证书的目的是什么？

当我在机器上部署 ejabberd 时，默认证书将如何用于我的域？客户端如何验证默认证书？

Answer 1

您可以通过提供的 TLS 证书将 ejabberd 与 SSL/STARTTLS 结合使用。但是，该证书只是一个自签名证书。这意味着:

1. 您仍然可以加密客户端和服务器之间的流量。
2. 您的客户端将无法检查服务器是否是它伪装的域。为了能够知道证书是可信的，客户端需要以某种方式引用信任机构。

在第二种情况下，这意味着如果中间网络设备(即 Wifi 接入点)试图冒充您的服务器，它可以向用户出示任何自签名证书，假装是您的域。

所以，你当然可以使用自签名证书来加密流量，但是为了保护你的用户免受中间人类型的攻击，你需要找到一种方法让客户端现在可以信任证书.

这可以通过从受信任的机构(将证明您的证书域)购买证书或让客户端支持定义明确的证书列表来完成。这称为证书固定，但它需要将可接受的证书列表构建到您的客户端中，这可能是不可能的。

您的情况可能没问题，因此购买证书不是强制性的。但是，不要使用默认的 ejabberd 自签名证书，即使您计划使用自签名证书。 ejabberd 提供的证书与您自己的域不匹配。您至少应该生成与您的实际 XMPP 域匹配的自签名证书:How to create a self-signed certificate with openssl?