如果担心即时通讯软件登录被黑，为什么你需要 XEP-0474？

想象一下：你正准备进入一个拥有极其安全大门的金库，也就是你的即时通讯账号。然而，突然有人出现在中间低语道：“这个金库太复杂了，换个简单的方法进去吧。”就在你信以为真并选择了更简陋的密码验证方式的瞬间，守候在侧的黑客便破门而入。

这就是我们使用的即时通讯软件，特别是基于 XMPP 协议（一种基于 XML 的实时通信标准）参考资料 Wikipedia（也称为 ‘Jabber’）的应用程序在登录过程中可能面临的真实风险。最近，为了解决这一问题而出现了一项技术——XEP-0474，让我们来轻松详细地了解一下。

为什么这很重要？

在使用即时通讯软件时，仅仅加密消息是不够的。如果即时通讯应用与服务器首次建立连接的“登录握手（连接确认过程）”阶段不安全，心怀不轨的攻击者就可以在中间尝试进行强制将安全设置降至最低级别的“降级攻击（Downgrade Attack）”。参考资料 XEP-0474: SASL SCRAM Downgrade Protection

如果该攻击成功，强大的安全保护装置就会被解除，你的聊天内容或账号信息将毫无遮掩地暴露在风险之中。XEP-0474 是一面盾牌，它防御此类攻击，防止他人强行解除你所设置的最强安全方式。参考资料 Mitigating the Hetzner/Linode XMPP.ru MitM interception incident

简而言之

可以将 XEP-0474 视为“安全的安全带”。正如坐车时没有安全带会导致事故中严重受伤一样，在即时通讯软件登录时，防止认证安全降级的安全带也是必不可少的。

打个比方，当你连接服务器时，即使你说“我想用最新的安全方式（如 SCRAM-SHA-256 等）登录”，中间的攻击者也可能拦截这条消息，并对服务器撒谎说：“用户想用那种老旧的方式（PLAIN 认证）登录”。

如果服务器和客户端都只支持过时的“PLAIN 认证”，那么安全将仅依赖于薄薄的一层 TLS（数据保护通信标准）。参考资料 XEP-0474: SASL SCRAM Downgrade Protection XEP-0474 会检测到这种欺骗，并立即阻断中间人试图拦截并降低安全设置的行为。参考资料 Prosody Community Modules

现状如何？

目前，许多 XMPP 即时通讯生态系统都在努力引入这一安全标准。例如，作为活用命令行即时通讯功能的工具，“go-sendxmpp”已从 0.14.1 版本开始支持 XEP-0474。此外，该工具还支持 SCRAM-SHA-1-PLUS、SCRAM-SHA-256-PLUS 等最新安全认证方式，使登录过程更加安全。参考资料 Bits from the Debian XMPP Team 参考资料 Bits from the Debian XMPP Team - jabber

许多 XMPP 服务器管理员和客户端开发者已将 XEP-0474 纳入规范，并积极采用以加强安全性。参考资料 XEP-0474: SASL SCRAM Downgrade Protection 参考资料 Prosody Community Modules

未来展望

未来，仅仅安装即时通讯软件将不再足够，确认所使用的客户端应用是否支持像 XEP-0474 这样的现代安全标准将变得至关重要。参考资料 Mitigating the Hetzner/Linode XMPP.ru MitM interception incident 安全专家建议，在选择即时通讯应用和服务提供商时，应优先考虑支持这种防降级功能的平台。

MindTickleBytes AI 记者的视角

即时通讯软件安全的核心不仅在于加密，更在于阻断连接过程中产生的欺骗行为。虽然用户直接核对技术规格非常困难，但请记住，只要选择安全的服务，就能获得巨大的安全保障。安全始于我们的选择。

参考资料

1. XEP-0474: SASL SCRAM Downgrade Protection
2. State of Play · Issue #1 · scram-sasl/info · GitHub

3. [SCRAM Authentication in RDS for PostgreSQL 13

   AWS Database Blog](https://aws.amazon.com/blogs/database/scram-authentication-in-rds-for-postgresql-13/)

4. psql: SCRAM authentication requires libpq version 10 or above
5. ejabberd Roadmap - ejabberd Docs
6. Can I email… Support tables for HTML and CSS in emails
7. Mitigating the Hetzner/Linode XMPP.ru MitM interception incident, part 2
8. Prosody Community Modules - Modules by XEP
9. Authentication - ejabberd Docs

10. [RFC 6120: Extensible Messaging and Presence Protocol

    RFC Editor](https://www.rfc-editor.org/info/rfc6120/)

11. cr-xmpp/CHANGELOG.md at master · naqvis/cr-xmpp · GitHub
12. XMPP - Wikipedia
13. XEP-0474: SASL SCRAM Downgrade Protection (HTML)
14. UPDATED: XEP-0474 (SASL SCRAM Downgrade Protection) - Standards - XMPP
15. XMPP/Jabber Debian 13 Trixie News - Bits from the Debian XMPP Team
16. Clients — jabber.at homepage 0.1 documentation
17. Bits from the Debian XMPP Team - jabber