From: "NAKAMURA, Hiroshi" <nakahiro@...>
Date: 2007-10-05T10:13:50+09:00
Subject: [ruby-list:44074] Re: [ruby-dev:31941] Re:  Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Shugo Maeda wrote:
>> RFC2818的には"SHOULD"になってるチェックですが、これは1.8.6、
>> 1.8.5のメンテナの判断、ということでしょうか。
>>
>> # 事前に知ってりゃこんなフラグなくさせたのに。verify_mode = nilで十分。
> 
> security MLの議論の時には気づかなかったのですが、verify_modeを指定できる
> なら、わざわざフラグを増やしてまで互換性を維持する必要はなかったかもしれ
> ないですね。

今回の件については、私がsecurity MLを抜けちゃったのは不幸でしたね。

>> さて、http.rb以外に、1.8だとimap.rbとdrb/ssl.rbが、trunkだと加えて
>> smtp.rbとpop.rbが、同じ問題を持っています。

>> で、今日ちょっと、OpenSSLに詳しいゆぞさんと話してたんですが、どうやって
>> 対応しますかね。
>>
>> A. 問答無用に全部post_connection_checkを追加して回る。
>> B. どうしても互換性が、という人のために、
>>    環境変数ENABLE_POST_CONNECTION_CHECKを見て、それが'no'だったら
>>    チェックしないようにする。
>> C. 各ライブラリのチーフメンテナに依頼し、それぞれ判断してもらう。
>>
>> Cは修正が長引くから駄目でしょう。1.8もtrunkも、http.rbを含めてAでいいと
>> 思うんだけどな。どうですかmputさん。
> 
> デフォルトはVERIFY_NONEのままという理解で合っているでしょうか？

はい。bladeがコケているので確認できませんが、ゆぞさんとしてはusability優
先で意図的にVERIFY_NONE + 警告、ということだったはずですし、それについて
は今回再検討の必要はないと思います。

> あと、ふと思ったのですが、Aで行くならOpenSSL側で対応することはできない
> でしょうか。

OpenSSL側には、相手先名称/アドレスがわからないんですよ。proxyがいるか
ら。呼び出し側プログラムは、

  このプログラムを利用しているユーザが、誰とつなごうと思っているのか

を、正確に、post_connection_checkに渡す必要があります。

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.5 (Cygwin)

iQEVAwUBRwWPrh9L2jg5EEGlAQIaJgf+Is1Q8vJ+PNNuoY/xblqBO6P/Po0V05VJ
hnNfG8lmpVYWYigshic5cU9f3Dqyer1HFEuH96es7duhpDKt1BHbPn7SZRjMURYq
gmpEM78AJ129nTh3nJk5c6VOOc9pTy3eJu36dr05QPHrFqlzuHcHrebVXk0G/NAa
1wq1mNvl25AUJQs+s+W9WGAC0mZ6NfVRGnY6zcAUc4lVcuBR6deU6gZRvPS+FuSH
gXYgf4oLv5JODDIeqNP54bIxxxL6v+VwkCW+6LmYUtf/s6lOcLseVZkWmsvCkL8c
nkpJdCsBkSx9yiOlCYrs/F2yW0VYn67AaNbweMWjZDFlJjoFLqP4PA==
=DClb
-----END PGP SIGNATURE-----