Lonewolf v0.3.0 ergänzt XMPP-Föderation und direkte TLS-Unterstützung

Die Maintainer des Lonewolf XMPP-Servers haben Version 0.3.0 veröffentlicht, ein bedeutendes Update, das Fähigkeiten zur Server-zu-Server-Föderation einführt. Die am 13. November 2026 veröffentlichte Version ermöglicht es isolierten Lonewolf-Instanzen, mit Benutzern in anderen XMPP-Netzwerken zu kommunizieren, was einen wichtigen Schritt hin zur Interoperabilität dieser selbst gehosteten Kommunikationsplattform darstellt.

Was ist passiert?

Die bemerkenswerteste Neuerung in diesem Release ist die Föderation, die es Lonewolf-Servern ermöglicht, Nachrichten, Präsenzinformationen, IQs und Roster-Abonnements mit externen XMPP-Servern auszutauschen. Diese Funktion wird automatisch aktiviert, wenn der Host über ein gültiges Zertifikat und einen öffentlichen DNS-Namen verfügt; eine zusätzliche Konfiguration durch den Administrator ist nicht erforderlich. Das System authentifiziert Peer-Server ausschließlich über Zertifikate, wobei der Remote-Server ein vertrauenswürdiges Zertifikat vorweisen muss und SASL EXTERNAL unterstützen muss. Bemerkenswerterweise unterstützt Lonewolf den älteren Server-Dialback-Mechanismus zur Authentifizierung nicht.

Wenn beide Server dies unterstützen, etablieren sie eine einzelne gemeinsame Verbindung für bidirektionalen Datenverkehr gemäß XEP-0288. Zusätzlich tauschen die Server im Voraus ihre Stanza-Größe und Idle-Limits über XEP-0478 aus, um die Ressourcennutzung zu optimieren. Um die Sicherheit zu gewährleisten, prüft Lonewolf Zertifikatswiderrufslisten (CRLs), die von der Zertifizierungsstelle veröffentlicht werden, und ruft diese über unverschlüsseltes HTTP ab. Wenn eine CRL nicht heruntergeladen werden kann, wird die Verbindung dennoch fortgesetzt, obwohl Administratoren diese Downloads deaktivieren oder auf lokale Dateien verweisen können, indem sie spezifische Konfigurationsflags verwenden.

Neben der Föderation führt das Release direkte TLS-Unterstützung für Clients und Server ein, die verschlüsselte Verbindungen vom ersten Byte an gemäß XEP-0368 ermöglichen. Neue dedizierte Listener behandeln diese Verbindungen, und die Discovery für ausgehende Föderationen identifiziert nun sowohl STARTTLS- als auch direkte TLS-Endpunkte. Das Update verbessert zudem die Kompatibilität mit Desktop-Clients, indem Private XML Storage für Einstellungen und Lesezeichen sowie Software-Version-Abfragen aktiviert werden, die den Server identifizieren, ohne das darunterliegende Betriebssystem preiszugeben, es sei denn, dies wurde explizit konfiguriert.

Wichtige Details

• Die Föderation ist standardmäßig für Hosts mit öffentlichem DNS-Namen und gültigem Zertifikat aktiviert und verlässt sich ausschließlich auf zertifikatsbasierte Authentifizierung.
• Direktes TLS (XEP-0368) wird über neue dedizierte Listener unterstützt, was eine Verschlüsselung ab dem ersten Verbindungsbyte ermöglicht.
• Zertifikatswiderrufslisten werden über unverschlüsseltes HTTP abgerufen, aber die Verbindung wird fortgesetzt, auch wenn diese Listen nicht verfügbar sind.
• SCRAM-SHA-512-Authentifizierung ist als opt-in-Funktion verfügbar, basiert jedoch auf einem abgelaufenen Internet-Draft statt auf einem offiziellen RFC.
• Die Aktivierung von SHA-512 ändert die Art und Weise, wie Zugangsdaten gespeichert werden, was einen Rollback zur Version 0.2.0 für betroffene Konten erschwert.
• Das Benchmark-Tool wurde von lonewolf-bench in lonewolfbench umbenannt, was Aktualisierungen bestehender Build-Skripte erfordert.

Hintergrund

XMPP, das Extensible Messaging and Presence Protocol, ist ein offener Standard für Echtzeitkommunikation, der viele selbst gehostete Chat-Systeme antreibt. Föderation ist ein Kernkonzept in XMPP, das verschiedenen Servern die Interoperabilität ermöglicht, ähnlich wie bei E-Mail-Anbietern. Ohne Föderation können Benutzer auf einem Server nur mit anderen auf derselben Instanz kommunizieren, was isolierte Silos schafft. Die Aktivierung der Föderation erfordert robuste Sicherheitsmaßnahmen wie gegenseitige TLS-Authentifizierung, um sicherzustellen, dass Server einander vertrauen, bevor Benutzerdaten ausgetauscht werden.

Direktes TLS unterscheidet sich von der traditionellen STARTTLS-Methode, bei der eine Verbindung im Klartext beginnt und später auf Verschlüsselung hochgestuft wird. Bei direktem TLS findet der Verschlüsselungs-Handshake sofort statt, was die Angriffsfläche reduziert, die mit dem anfänglichen unverschlüsselten Datenaustausch verbunden ist. Dies ist besonders relevant für moderne Sicherheitsstandards, die jede Übertragung im Klartext vermeiden wollen, selbst wenn sie nur kurzzeitig erfolgt. Selbst gehostete Administratoren müssen Zertifikate sorgfältig verwalten, um diese sicheren Verbindungen aufrechtzuerhalten, insbesondere im Umgang mit kurzlebigen Zertifikaten von Anbietern wie Let's Encrypt.

Warum ist das wichtig?

Für Teams, die ihre eigene Kommunikationsinfrastruktur betreiben, beseitigt die Möglichkeit zur Föderation Isolationsbarrieren. Bisher bedeutete die Einführung von Lonewolf, sich einer geschlossenen Gruppe von Benutzern innerhalb eines einzelnen Servers zu verpflichten. Nun können Organisationen die Kontrolle über ihre Daten behalten und dennoch mit Partnern, Kunden oder Community-Mitgliedern auf anderen XMPP-Servern zusammenarbeiten. Diese Flexibilität ist entscheidend für kleine und mittlere Unternehmen, die Souveränität über ihre Tools wünschen, ohne auf Konnektivität zu verzichten.

Das Sicherheitsmodell hängt jedoch stark von einem ordnungsgemäßen Zertifikatsmanagement ab. Da Lonewolf Peers nur über Zertifikate authentifiziert und Widerrufslisten über unverschlüsseltes HTTP abruft, müssen Administratoren sicherstellen, dass ihre TLS-Infrastruktur robust ist. Die Änderung der Speicherformatierung für SCRAM-SHA-512-Zugangsdaten birgt zudem ein Migrationsrisiko. Teams, die stärkere Authentifizierungsmethoden testen, sollten sich bewusst sein, dass ein Rollback nicht einfach ist, was dazu führen kann, dass sie für betroffene Benutzerkonten an die neue Version gebunden sind.

Was Sie tun können

• Stellen Sie sicher, dass Ihr Server über einen gültigen öffentlichen DNS-Namen und ein vertrauenswürdiges TLS-Zertifikat verfügt, um die Föderation automatisch zu aktivieren.
• Überprüfen Sie Ihre Konfiguration, um zu entscheiden, ob Sie das Abrufen von CRLs deaktivieren oder lokale Dateien verwenden möchten, falls Downloads über unverschlüsseltes HTTP problematisch sind.
• Aktualisieren Sie alle Build- oder Deployment-Skripte so, dass sie lonewolfbench anstelle des vorherigen Namens lonewolf-bench referenzieren.
• Testen Sie die Kompatibilität mit Desktop-Clients, indem Sie sicherstellen, dass Private XML Storage und Software-Version-Abfragen wie erwartet funktionieren.
• Seien Sie vorsichtig bei der Aktivierung von SCRAM-SHA-512, da dies das Format der Passwort-Speicherung ändert und einen einfachen Rollback verhindert.
• Überwachen Sie das Ablaufdatum Ihrer Zertifikate genau, insbesondere wenn Sie kurzlebige Profile verwenden, da Lonewolf frühzeitig erneuert, wenn sich Profile ändern.