Lonewolf v0.3.0 añade federación XMPP y soporte TLS directo

Los mantenedores del servidor Lonewolf XMPP han lanzado la versión 0.3.0, una actualización significativa que introduce capacidades de federación entre servidores. Publicado el 13 de noviembre de 2026, este lanzamiento permite que instancias aisladas de Lonewolf se comuniquen con usuarios en otras redes XMPP, marcando un paso importante hacia la interoperabilidad de esta plataforma de comunicación autoalojada.

Qué ha ocurrido

La adición más notable en este lanzamiento es la federación, que permite a los servidores Lonewolf intercambiar mensajes, información de presencia, IQs y suscripciones de lista de contactos con servidores XMPP externos. Esta función se activa automáticamente si el host posee un certificado válido y un nombre DNS público, sin requerir configuración adicional por parte del administrador. El sistema autentica a los servidores pares exclusivamente mediante certificados, exigiendo que el servidor remoto presente un certificado confiable y soporte SASL EXTERNAL. Cabe destacar que Lonewolf no admite el mecanismo antiguo Server Dialback para la autenticación.

Cuando ambos servidores lo soportan, establecen una única conexión compartida para tráfico bidireccional, cumpliendo con XEP-0288. Además, los servidores intercambian previamente su tamaño de estrofa y límites de inactividad mediante XEP-0478 para optimizar el uso de recursos. Para garantizar la seguridad, Lonewolf verifica las listas de revocación de certificados (CRL) publicadas por la Autoridad de Certificación, obteniéndolas mediante HTTP plano. Si una CRL no puede descargarse, la conexión continúa de todos modos, aunque los administradores pueden deshabilitar estas descargas o apuntar a archivos locales utilizando banderas de configuración específicas.

Más allá de la federación, el lanzamiento introduce soporte TLS directo tanto para clientes como para servidores, permitiendo conexiones cifradas desde el primer byte según lo definido en XEP-0368. Nuevos listeners dedicados gestionan estas conexiones, y el descubrimiento de federación saliente ahora identifica tanto endpoints STARTTLS como TLS directos. La actualización también mejora la compatibilidad con clientes de escritorio al habilitar Private XML Storage para ajustes y marcadores, así como consultas de Software Version que identifican el servidor sin revelar el sistema operativo subyacente a menos que se configure explícitamente.

Detalles clave

• La federación está habilitada por defecto para hosts con un nombre DNS público y un certificado válido, dependiendo únicamente de la autenticación basada en certificados.
• Se admite TLS directo (XEP-0368) mediante nuevos listeners dedicados, permitiendo el cifrado desde el byte inicial de la conexión.
• Las listas de revocación de certificados se obtienen mediante HTTP plano, pero las conexiones prosiguen incluso si estas listas no están disponibles.
• La autenticación SCRAM-SHA-512 está disponible como una función opt-in, aunque proviene de un Internet-Draft caducado en lugar de un RFC oficial.
• Habilitar SHA-512 cambia cómo se almacenan las credenciales, dificultando el rollback a la versión 0.2.0 para las cuentas afectadas.
• La herramienta de benchmark ha sido renombrada de lonewolf-bench a lonewolfbench, requiriendo actualizaciones en cualquier script de compilación existente.

Contexto

XMPP, o Extensible Messaging and Presence Protocol, es un estándar abierto para comunicación en tiempo real que impulsa muchos sistemas de chat autoalojados. La federación es un concepto central en XMPP, permitiendo que diferentes servidores interoperen de manera similar a como lo hacen los proveedores de correo electrónico. Sin federación, los usuarios en un servidor solo pueden comunicarse con otros en la misma instancia, creando silos aislados. Habilitar la federación requiere medidas de seguridad robustas, como la autenticación mutua TLS, para asegurar que los servidores confíen entre sí antes de intercambiar datos de usuario.

TLS directo difiere del método tradicional STARTTLS, donde una conexión comienza en texto plano y luego se actualiza a cifrado. Con TLS directo, el handshake de cifrado ocurre inmediatamente, reduciendo la superficie de ataque asociada con el intercambio inicial de datos sin cifrar. Esto es particularmente relevante para estándares de seguridad modernos que desaconsejan cualquier transmisión en texto plano, incluso brevemente. Los administradores autoalojados deben gestionar los certificados cuidadosamente para mantener estas conexiones seguras, especialmente cuando se trata de certificados de corta duración de proveedores como Let's Encrypt.

Por qué importa

Para equipos que ejecutan su propia infraestructura de comunicación, la capacidad de federar elimina las barreras de aislamiento. Anteriormente, adoptar Lonewolf significaba comprometerse con un grupo cerrado de usuarios dentro de un único servidor. Ahora, las organizaciones pueden mantener el control sobre sus datos mientras colaboran con socios, clientes o miembros de la comunidad en diferentes servidores XMPP. Esta flexibilidad es crucial para pequeñas y medianas empresas que quieren soberanía sobre sus herramientas sin sacrificar la conectividad.

Sin embargo, el modelo de seguridad depende en gran medida de una gestión adecuada de los certificados. Dado que Lonewolf autentica a los pares solo mediante certificados y obtiene las listas de revocación mediante HTTP plano, los administradores deben asegurarse de que su infraestructura TLS sea sólida. El cambio en el almacenamiento de credenciales para SCRAM-SHA-512 también introduce un riesgo de migración. Los equipos que experimenten con métodos de autenticación más fuertes deben ser conscientes de que el rollback no es sencillo, pudiendo quedar bloqueados en la nueva versión para las cuentas de usuario afectadas.

Qué puedes hacer

• Verifica que tu servidor tenga un nombre DNS público válido y un certificado TLS confiable para habilitar la federación automáticamente.
• Revisa tu configuración para decidir si deshabilitar la obtención de CRL o usar archivos locales si las descargas por HTTP plano son una preocupación.
• Actualiza cualquier script de compilación o despliegue para referenciar lonewolfbench en lugar del nombre anterior lonewolf-bench.
• Prueba la compatibilidad con clientes de escritorio asegurándote de que Private XML Storage y las consultas de Software Version funcionen como se espera.
• Ten precaución al habilitar SCRAM-SHA-512, teniendo en cuenta que cambia los formatos de almacenamiento de contraseñas e impide un rollback fácil.
• Monitoriza estrechamente la expiración de los certificados, especialmente si usas perfiles de corta duración, ya que Lonewolf renovará temprano cuando cambien los perfiles.