一開始新貴的手機跟老貴的電腦裡都沒有對方的帳號資訊。 新貴得到老貴的 xmpp/jabber 帳號， 於是提出交談請求。 老貴的 pidgin 上便出現了交友邀請通知。 這時老貴可以選擇直接 「送出即時訊息」， 這將會在未交朋友的情況下開始對話。 不過老貴知道新貴是誰， 所以直接選擇了 「給予認證」， 這其實也不是什麼真的認證， 只是向對方發出交友請求， 同時也將新貴加入自己的朋友清單而已。 最後， 新貴的 chatsecure 自動補上交友請求、 也接受老貴的交友請求。
然後老貴突然決定把新貴從朋友清單當中刪除。 結果造成新貴的 chatsecure 掛掉、 重開。
實際上 xmpp 的朋友關係是由兩個 「單向追蹤」 的關係組合而成的。 所謂 「交友邀請」， 其實是 「我想追蹤你」 的請求。 接受對方的追蹤請求之後， 你何時上線何時離線， 對方都看得到 -- 好友可以在他的 pidgin 的 「工具」 底下， 啟用 「好友狀態捕捉」 這個輕度變態工具來偷窺你的作息。
原先雙方彼此已認證的好友， 後來也可以單方面取消。 在 pidgin 的好友清單裡， 找到一位 「疑似有偷窺傾向的好友」， 按滑鼠右鍵， 叫出右圖選單， 選 「取消發出狀態資訊通知」 即可。 當然， 他也會從他的 pidgin 好友清單上的紅圈禁止標記看到你已不再把你的作息分享給他。
所謂 「有加密， 但不確定對方是誰」 是什麼意思呢? 所謂加密， 也只是用數學方法確認公鑰持有人之外別無他人能夠讀取訊息而已。 但是這把公鑰真的屬於朋友本人嗎? 還是這根本是 NSA 或 FBI 探員冒充朋友的身份要取得你的信任呢? 為了確保加密對談的對象真的是朋友本人， 你應該在對話視窗的 「OTR」 選 「Authenticate buddy」。 確認的方式有三種：
如果朋友不在身邊， 但是有其他私密安全的溝通管道 (例如 sip 加密電話) 那麼可以採用 Shared secret： 隨便訂一串中英文字串， 用安全私密的方式告訴他， 請他接到認證請求時， 逐字輸入。
如果朋友在遠方， 而且沒有私密安全的其他聯絡方式， 那就只好用比較費腦筋的 Question and answer 方式來認證。 向他提出一個問題， 答案只有你跟他知道， 格式要定義得很精確。 範例： 「2015年6月12日同學會聚餐時，你左手邊坐誰? 右手邊坐誰? 結束後上車前我跟你談到誰? 請寫三個人的外號，中間不要空格或任何標點符號。」 把你預期的答案填在下面。 朋友回答時， 你的軟體會逐字比對， 驗證兩個字串是否一模一樣。
上圖是認證成功之後的加密對話。 在 pidgin 裡面， 右下角會看到一個綠色的 「private」； 在 chatsecure 裡面， 右上角的鎖頭裡面會出現一個綠色的勾。
在 chatsecure 底下， 按鎖頭符號可以選擇要用什麼方式提出認證。 QR code 目前好像還不能用。
自己跟自己對話兩天之後， 有以下心得：
同一個帳號， 不要同時在多部機器裡登入， 否則聊天時系統會錯亂， 不知該把訊息傳到哪一部機器。
在 pidgin 裡面， 可以同時登入幾個不同的帳號； 但是 chatsecure 對於 「多帳號」 的支援還有很多 bugs， 建議只加入一個帳號就好。
總之， chatsecure 的 bug 還蠻多的。 因為我手機打字很慢， 但也只有手機的 chatsecure 會隨時上線， 所以先前好幾次朋友透過 chatsecure 找到我， 而我則企圖改用電腦上的 pidgin (用同一個帳號) 跟他對話， 結果從來沒成功過。 現在分別用兩個帳號， 看看是否能解決這個問題。 不熟的朋友要找我， 請用 ckhung@jabber.org 這個公開的帳號。
也可以參考 xmpp 軟體清單 挑其他你覺得更好用的 app。 比較完整的 app 應該還支援傳檔等等功能。