我一直以為 GTalk 是加密傳送聊天訊息的，直到今早一位在火燙公司的學弟，請我跟他用 GTalk 聊天時，意外發現 GTalk 原來不是完全的加密聊天的。
情境敘述：
目前共有三台電腦
- 第一台是 Ubuntu 10.04 安裝 Pidgin 2.6.6 版本，上頭標示支援 GTalk SSL/TLS 加密傳輸，使用 A 帳號
- 第二台是 Windows XP，安裝 GTalk 官方繁體中文版 1.0.0.105，此版本不提供加密服務，使用 B 帳號
- 第三台是 Windows 7，安裝 GTalk 官方英文版 1.0.0.104，此版本提供加密服務，使用 C 帳號
測試結果：
- 當 A 跟 B 進行聊天時，發現兩者傳遞的內容都是明文的 XML 資料，其中 <body> 內記錄的就是聊天內容，除此之外，當然連帳號資訊都是未加密的
- 當 A 跟 C 進行聊天時，此時兩端會使用加密傳遞
- 當 B 跟 C 進行聊天時，此時兩端皆會使用不加密傳遞，結果跟 A 與 B 一樣
因此驗證了一件事，不要以為自己的 IM client 標榜加密，就等於跟人溝通都會加密的！還是會看對方情況來處理，例如 B 跟 C 都已是官方的軟體，只是一個是繁體版，另一個是英文版，但繁體版不加密，導致英文版最後也配合繁體版進行不加密的通訊。
查了一些文章，這篇說的跟我測的差不多：正面全裸的Gtalk 1.0.0.105,慎用！
所謂的加密部分，只能確保 gtalk client 端連到 google server 端的過程，但從 google server 連到對方那端時，不見得會加密(例如對方透過 http 在 GMail 上用)。除此之外，這次測到的一個大問題是：
就算你自己的 gtalk client 可以提供加密連線，但對方不提供時，結果自己連到 google server 這端也就不走加密
呼，還是萬試謹言慎行啊！還有，快去用英文版就好！
最後附上一些圖示：
GTalk 使用加密時的封包訊息
GTalk不使用加密時的封包，其中 <body> 儲存的就是聊天訊息，此例為 "Hello" 訊息，除此之外連同通訊雙方的帳密資訊也是曝光的，並使用可讀性佳的 XML 描述
沒有留言:
張貼留言