From: Shugo Maeda <shugo@...>
Date: 2007-10-05T13:35:09+09:00
Subject: [ruby-dev:31945] Re: [ruby-list:44071] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

前田です。

On 10/05/2007 10:13 AM, NAKAMURA, Hiroshi wrote:
>>> # 事前に知ってりゃこんなフラグなくさせたのに。verify_mode = nilで十分。
>> security MLの議論の時には気づかなかったのですが、verify_modeを指定できる
>> なら、わざわざフラグを増やしてまで互換性を維持する必要はなかったかもしれ
>> ないですね。
> 
> 今回の件については、私がsecurity MLを抜けちゃったのは不幸でしたね。

はい、そうですね。
なひさんに戻っていただける意思があれば、いつでもお待ちしておりますので。

>>> で、今日ちょっと、OpenSSLに詳しいゆぞさんと話してたんですが、どうやって
>>> 対応しますかね。
>>>
>>> A. 問答無用に全部post_connection_checkを追加して回る。
>>> B. どうしても互換性が、という人のために、
>>>    環境変数ENABLE_POST_CONNECTION_CHECKを見て、それが'no'だったら
>>>    チェックしないようにする。
>>> C. 各ライブラリのチーフメンテナに依頼し、それぞれ判断してもらう。
>>>
>>> Cは修正が長引くから駄目でしょう。1.8もtrunkも、http.rbを含めてAでいいと
>>> 思うんだけどな。どうですかmputさん。
>> デフォルトはVERIFY_NONEのままという理解で合っているでしょうか？
> 
> はい。bladeがコケているので確認できませんが、ゆぞさんとしてはusability優
> 先で意図的にVERIFY_NONE + 警告、ということだったはずですし、それについて
> は今回再検討の必要はないと思います。

了解です。であれば私もA or Bでよいと思います。

ちなみに1.9でもデフォルトはVERIFY_NONEの方がいいでしょうか。

>> あと、ふと思ったのですが、Aで行くならOpenSSL側で対応することはできない
>> でしょうか。
> 
> OpenSSL側には、相手先名称/アドレスがわからないんですよ。proxyがいるか
> ら。呼び出し側プログラムは、
> 
>   このプログラムを利用しているユーザが、誰とつなごうと思っているのか
> 
> を、正確に、post_connection_checkに渡す必要があります。

なるほど。

On 10/05/2007 01:17 PM, Urabe Shyouhei wrote:
> 私としてもCはなしな気がします。1.8.5/1.8.6では互換性を優先させたい状況も
> 存在し得るので、なんらかの方法で post_connection_checkをスキップする方法
> が提供されていてほしいです。というわけでBがいいと思います。

スキップする方法を提供するのに反対というわけではないのですが、
素朴な疑問として、VERIFY_PEERを指定しているのにpost_connection_checkを
スキップしなければならないケースというのは、実際問題としてあるので
しょうか?

-- 
前田 修吾