14.5. Порядок слоев
Порядок протокольных слоев в стеке должен быть следующим:
- TCP
- TLS
- SASL
- XMPP
Разумность такого порядка заключается в том, что он является основой [TCP] упорядочения для всего стека протоколов, работающих поверх TCP.
14.6. Необходимость SASL для подключения канала к TLS
Система SASL не предоставляет механизма подключения аутентификации SASL к уровню безопасности обеспечивающему конфиденциальность и целостность, которые согласованы на более низком уровне. Этот недостаток канальной привязки мешает SASL верифицировать, являются ли конечные точки виртуального канала, сформированного нижним уровнем безопасности, конечными точками, которые аутентифицировала SASL. Если конечные точки не идентичны, нижнему уровню безопасности нельзя доверять защиту данных, передаваемых между объектами SASL. В такой ситуации нужно согласовывать уровень безопасности SASL, который эффективно игнорирует более низкий уровень безопасности.
14.7. Обязательные для использования технологии
По минимуму все реализации должны поддерживать следующие механизмы:
для аутентификации: механизм SASL [DIGEST-MD5]
для конфиденциальности: TLS (используя шифр TLS_RSA_WITH_3DES_EDE_CBC_SHA)
для обих: TLS плюс SASL EXTERNAL(используя TLS_RSA_WITH_3DES_EDE_CBC_SHA шифр, поддерживающий сертификаты стороны клиента)