From: "NAKAMURA, Hiroshi" <nakahiro@...>
Date: 2007-10-05T20:01:19+09:00
Subject: [ruby-dev:31948] Re: [ruby-list:44071] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

ruby-listは外しました。

Shugo Maeda wrote:
>> 今回の件については、私がsecurity MLを抜けちゃったのは不幸でしたね。

> なひさんに戻っていただける意思があれば、いつでもお待ちしておりますので。

まだパスしておきます。本当に必要になったら協力しますよ。

>>>> A. 問答無用に全部post_connection_checkを追加して回る。
>>>> B. どうしても互換性が、という人のために、
>>>>    環境変数ENABLE_POST_CONNECTION_CHECKを見て、それが'no'だったら
>>>>    チェックしないようにする。
>>>> C. 各ライブラリのチーフメンテナに依頼し、それぞれ判断してもらう。

> ちなみに1.9でもデフォルトはVERIFY_NONEの方がいいでしょうか。

個人的には、VERIFY_NONEをSSLと呼ぶのは勘弁してくれ、という感じですが、
まぁいろいろ総合してメンテナが判断すればいいんじゃないでしょうか。
「httpclient入れたらSSLにつながらなくなったぞどうしてくれる」というク
レームに対応し続けるのには体力も要ります。

> On 10/05/2007 01:17 PM, Urabe Shyouhei wrote:
>> 私としてもCはなしな気がします。1.8.5/1.8.6では互換性を優先させたい状況も
>> 存在し得るので、なんらかの方法で post_connection_checkをスキップする方法
>> が提供されていてほしいです。というわけでBがいいと思います。
> 
> スキップする方法を提供するのに反対というわけではないのですが、
> 素朴な疑問として、VERIFY_PEERを指定しているのにpost_connection_checkを
> スキップしなければならないケースというのは、実際問題としてあるので
> しょうか?

soap4r-mlで、これまでにひとりだけ、「DNSをいじる権限がないからIPアドレス
でつないでるんだけど、証明書にDNS名が入ってるので、IPアドレスでもいいよ
うにしたい」と言ってきた人が居ました。「そのSSLには意味がないから、
VERIFY_NONEにするか、平文でつないどけ」とアドバイスしました。

enable_post_connection_checkフラグには存在意義を見出せません。とりあえず
trunkとruby_1_8からは削除希望。1.8.6と1.8.5は卜部さんにお任せ。

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.5 (Cygwin)

iQEVAwUBRwYZYR9L2jg5EEGlAQImpAgAvF467jx9miCz0KuXX0z7Tg194y1WBTki
QHHGWKKBw9cXJhYFyoVCFn1u8Ba5ReGDxEiMqJxguCLpzE2Ju81THB5wpyxWv3kL
dwVEaT6enzwtceAJ4NlTfVYMqReMRlyre64tboKCR1egu/eQg+O7Ei40IeVeMvdn
VKZLuctkqPHBj+iJOqSFcievsauwt+dz5J90d1YCm9WzvJFO10Tj2JnqM1Yo40vR
j9/9pINAg8DEH/QYmQS3JXvK0JIJtEtM5PGScsJmixIRJkBqZx2aaS/jvw5s9cjZ
TGZM3N4rFoWeExOgdLPWM9sHyToEZBVkkGmMnouNyhOADBJfnbpvag==
=cwrI
-----END PGP SIGNATURE-----