From: GOTOU Yuuzou <gotoyuzo@...>
Date: 2005-02-14T14:17:54+09:00
Subject: [ruby-dev:25694] Re: openssl binding for SSL_CTX_set_default_verify_paths and X509_STORE_set_default_paths

In message <87is4xhe4o.fsf@serein.a02.aist.go.jp>,
 `Tanaka Akira <akr@m17n.org>' wrote:
> In article <20050213.021305.304099822.gotoyuzo@sawara.does.notwork.org>,
>   GOTOU Yuuzou <gotoyuzo@notwork.org> writes:
> > いっそOpenSSLモジュールに追加してもいいような気もします。
> > すぐに思い付くのは、
> >
> >   OpenSSL::SSL::SSLSocket#post_connection_check(hostname)
> >
> > というものですが、どちらがいいでしょうね。
> 
> https 以外にも使えるのであれば OpenSSL のほうが適切だと思います。

OpenSSLには追加しました。RFC2818によれば、subjectAltName拡張
のdNSNameがない場合にのみSubjectのcommonNameを調べるように書
かれているので、そのように実装しています。

> とりあえず net/*.rb で ssl なコードが入っているのは imap, pop, smtp で、
> IMAP, POP3 については RFC 2595 にそれっぽいことが書いてありますが、使
> えるでしょうか?

RFC2818にも"the use of the Common Name is existing practice"
とありますが、subjectAltName拡張のdNSNameを見ろとしか書かれ
てませんね。

とはいえ、Subjectを見ないといまいち実用的じゃないように思い
ます。これらのアプリケーションを扱うほかのアプリケーションが
どのように実装されているかご存知の方はいませんか。

-- 
ごとうゆうぞう