[ruby-dev:25241] net/https.rb and server identity (RFC2818)

こんばんは sheepman です。

net/https.rb と net/http.rb で RFC2818 の 3.1 に定められた
「サーバーの証明書に記載された身元のチェック」をしていないのは意図されたことでしょうか。

http://www.ipa.go.jp/security/rfc/RFC2818JA.html#31

クライアントが信頼している CA に署名された、証明書をもつサーバーが DNS spoofing などと
連係して偽の名前を名乗ることが出来てしまいます。

以下のようなパッチを書いてみました。 subjectAltName 拡張などに対応していないのでこの
パッチのままでは RFC2818に準拠しません。OpenSSL での拡張の取り扱いがいまひとつ分
からないので。

--- https.rb	2004-03-30 19:58:04.000000000 +0900
+++ https.rb	2004-12-17 23:37:44.000000000 +0900
@@ -109,6 +109,7 @@
 
 module Net
 
+  class HTTPSSLServerIdentityError < StandardError ;end    
   class HTTP
     remove_method :use_ssl?
     def use_ssl?
@@ -172,6 +173,24 @@
       return nil if not use_ssl? or not @socket
       @socket.io.peer_cert
     end
+
+    def check_server_identity(host)
+      reg = Regexp.escape(host)
+      reg = reg.gsub(%r!\\\*!, '[^.]+')
+      reg = Regexp.new('\A' + reg + '\z')
+      reg.match @address
+    end
+    
+    def on_connect
+      cn = nil
+      peer_cert.subject.to_a.reverse_each{|k, v|
+        if k == 'CN'
+          cn = v
+          break
+        end
+      }
+      raise HTTPSSLServerIdentityError unless check_server_identity(cn)
+    end
   end
 
 end

-- 
sheepman / TAMURA Takashi
[e-mail] http://sheepman.parfait.ne.jp/
Key fingerprint = 4E13 FE38 CD73 48D3 38AE  00EE 9E28 F98B D569 848E