Lonewolf v0.3.0 bổ sung liên kết liên máy chủ XMPP và hỗ trợ TLS trực tiếp

Các nhà bảo trì của máy chủ Lonewolf XMPP đã phát hành phiên bản 0.3.0, một bản cập nhật đáng kể giới thiệu khả năng liên kết giữa các máy chủ (federation). Được công bố vào ngày 13 tháng 11 năm 2026, bản phát hành này cho phép các instance Lonewolf riêng lẻ giao tiếp với người dùng trên các mạng XMPP khác, đánh dấu một bước tiến lớn hướng tới tính tương tác của nền tảng giao tiếp tự lưu trữ này.

Điều gì đã xảy ra

Tính năng nổi bật nhất trong bản phát hành này là liên kết máy chủ (federation), cho phép các máy chủ Lonewolf trao đổi tin nhắn, thông tin trạng thái hiện diện (presence), IQs và đăng ký danh bạ (roster subscriptions) với các máy chủ XMPP bên ngoài. Tính năng này được kích hoạt tự động nếu máy chủ sở hữu chứng chỉ hợp lệ và tên miền DNS công khai, không yêu cầu cấu hình thêm từ phía quản trị viên. Hệ thống xác thực các máy chủ đối tác hoàn toàn thông qua chứng chỉ, yêu cầu máy chủ từ xa trình bày một chứng chỉ đáng tin cậy và hỗ trợ SASL EXTERNAL. Đáng chú ý, Lonewolf không hỗ trợ cơ chế Server Dialback cũ để xác thực.

Khi cả hai máy chủ đều hỗ trợ, chúng thiết lập một kết nối chia sẻ duy nhất cho lưu lượng hai chiều, tuân thủ theo XEP-0288. Ngoài ra, các máy chủ trao đổi trước về kích thước stanza và giới hạn thời gian chờ (idle limits) thông qua XEP-0478 để tối ưu hóa việc sử dụng tài nguyên. Để đảm bảo an ninh, Lonewolf kiểm tra các danh sách thu hồi chứng chỉ (CRLs) do Cơ quan cấp chứng chỉ (Certificate Authority) công bố, tải chúng qua HTTP thường. Nếu không thể tải CRL, kết nối vẫn sẽ tiếp tục, mặc dù quản trị viên có thể vô hiệu hóa các lần tải này hoặc trỏ tới các tệp cục bộ bằng cách sử dụng các cờ cấu hình cụ thể.

Ngoài tính năng liên kết, bản phát hành còn giới thiệu hỗ trợ TLS trực tiếp cho cả máy khách và máy chủ, cho phép kết nối mã hóa ngay từ byte đầu tiên như định nghĩa trong XEP-0368. Các listener chuyên dụng mới xử lý những kết nối này, và việc khám phá liên kết máy chủ outbound giờ đây nhận diện cả endpoint STARTTLS và TLS trực tiếp. Bản cập nhật cũng cải thiện khả năng tương thích với các máy khách desktop bằng cách bật Private XML Storage cho cài đặt và bookmark, cũng như các truy vấn Software Version giúp xác định máy chủ mà không tiết lộ hệ điều hành cơ bản trừ khi được cấu hình rõ ràng.

Chi tiết chính

• Liên kết máy chủ được bật mặc định cho các host có tên miền DNS công khai và chứng chỉ hợp lệ, chỉ dựa vào xác thực bằng chứng chỉ.
• TLS trực tiếp (XEP-0368) được hỗ trợ thông qua các listener chuyên dụng mới, cho phép mã hóa ngay từ byte kết nối ban đầu.
• Danh sách thu hồi chứng chỉ được tải qua HTTP thường, nhưng kết nối vẫn tiếp tục ngay cả khi các danh sách này không khả dụng.
• Xác thực SCRAM-SHA-512 có sẵn dưới dạng tính năng tùy chọn (opt-in), mặc dù nó bắt nguồn từ một Internet-Draft đã hết hạn thay vì một RFC chính thức.
• Việc bật SHA-512 thay đổi cách lưu trữ thông tin đăng nhập, khiến việc quay lại phiên bản 0.2.0 trở nên khó khăn đối với các tài khoản bị ảnh hưởng.
• Công cụ benchmark đã được đổi tên từ lonewolf-bench thành lonewolfbench, yêu cầu cập nhật bất kỳ script build nào hiện có.

Bối cảnh

XMPP, hay Extensible Messaging and Presence Protocol, là một tiêu chuẩn mở cho giao tiếp thời gian thực, cung cấp sức mạnh cho nhiều hệ thống chat tự lưu trữ. Liên kết máy chủ (federation) là một khái niệm cốt lõi trong XMPP, cho phép các máy chủ khác nhau tương tác giống như các nhà cung cấp email. Không có liên kết, người dùng trên một máy chủ chỉ có thể giao tiếp với những người khác trên cùng instance đó, tạo ra các silo cô lập. Việc bật liên kết đòi hỏi các biện pháp bảo mật mạnh mẽ, chẳng hạn như xác thực TLS song phương, để đảm bảo rằng các máy chủ tin tưởng lẫn nhau trước khi trao đổi dữ liệu người dùng.

TLS trực tiếp khác với phương pháp STARTTLS truyền thống, nơi kết nối bắt đầu ở dạng văn bản thuần túy (plaintext) và sau đó được nâng cấp lên mã hóa. Với TLS trực tiếp, quá trình bắt tay mã hóa diễn ra ngay lập tức, giảm bề mặt tấn công liên quan đến việc trao đổi dữ liệu chưa được mã hóa ban đầu. Điều này đặc biệt liên quan đến các tiêu chuẩn bảo mật hiện đại khuyến nghị tránh mọi truyền tải plaintext, dù chỉ trong thời gian ngắn. Quản trị viên tự lưu trữ phải quản lý chứng chỉ cẩn thận để duy trì các kết nối an toàn này, đặc biệt khi làm việc với các chứng chỉ có thời hạn ngắn từ các nhà cung cấp như Let's Encrypt.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành hạ tầng giao tiếp riêng, khả năng liên kết phá vỡ các rào cản cô lập. Trước đây, việc áp dụng Lonewolf đồng nghĩa với cam kết với một nhóm người dùng đóng trong một máy chủ đơn lẻ. Bây giờ, các tổ chức có thể duy trì quyền kiểm soát dữ liệu của mình trong khi vẫn cộng tác với đối tác, khách hàng hoặc thành viên cộng đồng trên các máy chủ XMPP khác. Sự linh hoạt này rất quan trọng đối với các công ty vừa và nhỏ muốn có chủ quyền đối với công cụ của họ mà không hy sinh khả năng kết nối.

Tuy nhiên, mô hình bảo mật phụ thuộc nhiều vào việc quản lý chứng chỉ đúng cách. Vì Lonewolf chỉ xác thực các máy chủ đối tác thông qua chứng chỉ và tải danh sách thu hồi qua HTTP thường, quản trị viên phải đảm bảo hạ tầng TLS của họ vững chắc. Thay đổi trong lưu trữ thông tin đăng nhập cho SCRAM-SHA-512 cũng giới thiệu rủi ro di trú. Các đội thử nghiệm các phương thức xác thực mạnh hơn cần biết rằng việc quay lại phiên bản cũ không hề đơn giản, có thể khóa chặt họ vào phiên bản mới đối với các tài khoản người dùng bị ảnh hưởng.

Bạn có thể làm gì

• Xác minh rằng máy chủ của bạn có tên miền DNS công khai hợp lệ và chứng chỉ TLS đáng tin cậy để bật liên kết tự động.
• Xem xét cấu hình của bạn để quyết định xem có nên vô hiệu hóa việc tải CRL hay sử dụng các tệp cục bộ nếu lo ngại về việc tải qua HTTP thường.
• Cập nhật bất kỳ script build hoặc triển khai nào để tham chiếu lonewolfbench thay vì tên lonewolf-bench trước đó.
• Kiểm tra khả năng tương thích của máy khách desktop bằng cách đảm bảo Private XML Storage và các truy vấn Software Version hoạt động như mong đợi.
• Thận trọng khi bật SCRAM-SHA-512, lưu ý rằng nó thay đổi định dạng lưu trữ mật khẩu và ngăn chặn việc quay lại dễ dàng.
• Theo dõi chặt chẽ ngày hết hạn chứng chỉ, đặc biệt nếu sử dụng các hồ sơ có thời hạn ngắn, vì Lonewolf sẽ gia hạn sớm khi hồ sơ thay đổi.