test13r

Не только сервер, но и клиент должен поддерживать (XEP-0136) расширение - архив сообщений.
Выбор на самом деле не очень велик и wiki-таблица подсказывает, что только Tigase поддерживает расширение из коробки, для Prosody и Ejabberd нужны модули.
При выборе лучше акцентировать внимание на предполагаемые нагрузки и возможность самостоятельной поддержки. Например не очень удобен в поддержке Ejabberd, но проблем с нагрузками не будет. Prosody - персональный сервер. Tigase - кроме сервера существуют еще и клиенты на любой вкус и цвет.
Возможно и с OpenFire получится разобраться, вдруг где-то здесь что-то полезное окажется.

Как вариант, перед тем как заменить сервер, можно воспользоваться публичными серверами из списка и не пройдите мимо, тем самым проверить так ли всё рабоет, как надо в том числе и в клиентах.

Многое зависит от того какие цели/задачи находятся на первом плане, но изучение литературы также является неотъемлимой частью практики.
Подборка линков:
Лучшие книги про безопасность с RSA 2014 - Kaspers...
Книги и ресурсы по ИБ - Toster
Книги по информационной безопасности. - Habrahabr
---
Книги по информационной безопасности, криптографии, хакингу, ...
bezopasnik.org/article/book/index.htm
proklondike.com/books/security.html

В идеале ни сами пароли, ни какие либо ключевые последовательности вообще хранить не нужно нигде.
По возможности лучше не хранить пароли в открытом виде.
А приемлемым всё еще является хранение не самого пароля, а его одностороннего преобразования (hash) со всякими полезными нагрузками в виде "соли". Весь прикол в этом преобразовании в том, что самого пароля, то и нет. Есть лишь какая-то последовательность символов которую никак не преобразовать обратно.
Таким образом всё сводится к тому, что пароль в чистом виде по сети не передавался, а передавались результаты преобразования. В итоге при получении на сервере, к примеру, запроса авторизации, сверяется именно преобразованная последователь. Вот где-то тут и пропадает необходимость действия по восстановлению чистых паролей.