דילוג לתוכן
Dialova

תיעוד IRC · ביניים

SASL ב־IRC: אימות חשבון

SASL מאמתת חשבון מול שירות IRC, לעיתים לפני סיום החיבור. היא אינה מצפינה בעצמה את התעבורה, ואינה זהה לכינוי המבוקש או לבדיקת תעודת השרת.

צוות Dialova · נבדק בתאריך

TLS,‏ SASL ו־NickServ: שלושה תפקידים #

מנגנוןתפקיד
TLSהגנת החיבור ובדיקת זהות השרת באמצעות תעודה.
SASLאימות חשבון באמצעות מנגנון מוסכם.
NickServשירות לניהול חשבונות או כינויים, שפקודותיו תלויות ברשת.

SASL שימושית לכניסה לחדר שמחייב חשבון מזוהה כבר בהגעה. שם החשבון עשוי להיות שונה מהכינוי. לשרת עשוי להיות גם אימות חיבור PASS: אין לבלבל בין השדות.

בחירת מנגנון שהשרת מציע #

השרת יכול לפרסם sasl=PLAIN,EXTERNAL ב־CAP LS 302.‏ PLAIN משתמשת בסוד חשבון בחילוף המקודד ב־Base64; זו אינה הצפנה. EXTERNAL נשענת על זהות חיצונית מאושרת, למשל תעודת לקוח המשויכת לחשבון. אין להניח שמנגנון או תעודת לקוח זמינים בכל רשת.

  • שימוש ב־TLS ובדיקת השם ושרשרת תעודת השרת.
  • הפעלת sasl באמצעות CAP REQ והמתנה ל־ACK.
  • בחירת מנגנון שהלקוח מבין ושהשרת מציע.
  • טיפול בהצלחה, בכישלון ובביטול לפני השלמת הרישום לחיבור.

דוגמת PLAIN עם פרטי זיהוי בדויים #

לאחר CAP ACK sasl, בחיבור TLS: דוגמה בדויה
C: AUTHENTICATE PLAIN
S: AUTHENTICATE +
C: AUTHENTICATE AGFsaWNlAG1vdC1kZS1wYXNzZS1leGVtcGxl
S: :irc.example 903 Alice :SASL authentication successful

ה־Base64 הזה מייצג זהות הרשאה ריקה, את החשבון alice ואת הטקסט mot-de-passe-exemple, מופרדים ב־NUL. מטרתו להסביר את המבנה, לא לספק סוד להעתקה. העמוד על AUTHENTICATE מפרט מקטעי 400 בתים ואת הסמן +.

לא להסתיר כישלון באימות זהות #

904 מציינת כישלון; פקיעת זמן או היעלמות sasl אינן אימות מוצלח. אם הרשת דורשת SASL, עוצרים את הניסיון ומציגים סיבה מועילה בלי לתעד את הסוד ביומן. האימות מחדש המתואר ב־SASL 3.2 תלוי בשרת.

ל־Dialova יוצרים מפתח IRC ייעודי בהגדרות החשבון. המפתח מיועד לתוכנת IRC; אין להשתמש בסיסמת האתר בדוגמת סקריפט או בקובץ שפורסם.

מקורות ובדיקת המידע

הדוגמאות משתמשות בכינויים ובדומיינים בדויים, למעט כתובות חיבור שמתועדות במפורש. הרחבות והגדרות ייחודיות לרשת מצוינות בטקסט.