[ruby-dev:31952] Re: [ruby-list:44071] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

前田です。

NAKAMURA, Hiroshi wrote:
>>> 今回の件については、私がsecurity MLを抜けちゃったのは不幸でしたね。
> 
>> なひさんに戻っていただける意思があれば、いつでもお待ちしておりますので。
> 
> まだパスしておきます。本当に必要になったら協力しますよ。

了解です。

>> ちなみに1.9でもデフォルトはVERIFY_NONEの方がいいでしょうか。
> 
> 個人的には、VERIFY_NONEをSSLと呼ぶのは勘弁してくれ、という感じですが、
> まぁいろいろ総合してメンテナが判断すればいいんじゃないでしょうか。

Net::IMAPについてはVERIFY_PEERをデフォルトにしたいと思うのですが、
Net::*で揃えた方がいいでしょうね。
この話はまた別の機会に。

>>> 私としてもCはなしな気がします。1.8.5/1.8.6では互換性を優先させたい状況も
>>> 存在し得るので、なんらかの方法で post_connection_checkをスキップする方法
>>> が提供されていてほしいです。というわけでBがいいと思います。
>> スキップする方法を提供するのに反対というわけではないのですが、
>> 素朴な疑問として、VERIFY_PEERを指定しているのにpost_connection_checkを
>> スキップしなければならないケースというのは、実際問題としてあるので
>> しょうか?
> 
> soap4r-mlで、これまでにひとりだけ、「DNSをいじる権限がないからIPアドレス
> でつないでるんだけど、証明書にDNS名が入ってるので、IPアドレスでもいいよ
> うにしたい」と言ってきた人が居ました。「そのSSLには意味がないから、
> VERIFY_NONEにするか、平文でつないどけ」とアドバイスしました。
> 
> enable_post_connection_checkフラグには存在意義を見出せません。とりあえず
> trunkとruby_1_8からは削除希望。1.8.6と1.8.5は卜部さんにお任せ。

VERIFY_PEERを指定した上でpost_connection_checkをスキップしたいという
（ちゃんとした意味のある）ニーズがないなら、環境変数を使ってまでスキ
ップ手段を提供する必要はないんじゃないでしょうか？ > 卜部さん

どうしてもpost_connection_checkをスキップしたいなら、なひさんが言う
ようにVERIFY_NONEにすればいいわけで、デフォルトで
enable_post_connection_checkがtrueだとすると、あまりフラグに意味を
見い出せません。
# 結局反対意見になってしまった。

-- 
前田 修吾 <[e-mail]>