From: GOTOU Yuuzou <gotoyuzo@...>
Date: 2007-10-06T10:17:45+09:00
Subject: [ruby-dev:31956] Re: [ruby-list:44071] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

In message <47063403.3070402@ruby-lang.org>,
 `Shugo Maeda <shugo@ruby-lang.org>' wrote:
> NAKAMURA, Hiroshi wrote:
> >> ちなみに1.9でもデフォルトはVERIFY_NONEの方がいいでしょうか。
> > 
> > 個人的には、VERIFY_NONEをSSLと呼ぶのは勘弁してくれ、という感じですが、
> > まぁいろいろ総合してメンテナが判断すればいいんじゃないでしょうか。
> 
> Net::IMAPについてはVERIFY_PEERをデフォルトにしたいと思うのですが、
> Net::*で揃えた方がいいでしょうね。
> この話はまた別の機会に。

1.9ではnet/popとnet/smtpのSSLサポートも加わっていますが、そ
れぞれ設定できるパラメータのセットが異なっています。APIを見
直すのにいい機会だと思います。

> > enable_post_connection_checkフラグには存在意義を見出せません。とりあえず
> > trunkとruby_1_8からは削除希望。1.8.6と1.8.5は卜部さんにお任せ。
> 
> VERIFY_PEERを指定した上でpost_connection_checkをスキップしたいという
> （ちゃんとした意味のある）ニーズがないなら、環境変数を使ってまでスキ
> ップ手段を提供する必要はないんじゃないでしょうか？ > 卜部さん

開発用途ではパス検証だけ確認したいときもあるような気がしたの
でホスト名の検証をスキップできるようにしてみましたが、筋が悪
かったですね。削除に賛成します。

-- 
ごとうゆうぞう