与 Signal 加密协议集成。 libsignal 的服务器端

Question

设置 libsignal 协议的客户端很简单

https://github.com/WhisperSystems/libsignal-protocol-java

我被困在下一步了。说明说您必须将预密钥包发送到服务器，这会导致两个问题：

1) 什么是“服务器”？只是编写一些代码来存储密钥还是需要安装一个 Signal 服务器？

2) 如果服务器不是私有的，是否安全？

Answer 1

回答您的第一个问题，我相信服务器为希望与您交流的用户保存了预密钥包。他们的文档中提供了更多信息，例如您需要多久更改一次捆绑包等。

至于服务器不拥有是否安全，他们谈到了服务器信任。

4.7。服务器信任

恶意服务器可能导致 Alice 和 Bob 之间的通信失败（例如，通过拒绝传递消息）。

如果 Alice 和 Bob 像第 4.1 节中那样相互验证，那么 服务器唯一可用的额外攻击是拒绝手 一次性预密钥，导致 SK 的前向保密依赖于 签名预密钥的生命周期（如上一节所述）。

初始前向保密性的降低也可能发生在以下情况下 一方恶意耗尽另一方的一次性预密钥，因此 服务器应尝试防止这种情况，例如有速率限制 获取预密钥包。