From: Urabe Shyouhei <shyouhei@...>
Date: 2007-10-05T13:17:20+09:00
Subject: [ruby-list:44076] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

NAKAMURA, Hiroshi wrote:
> 正確には常にチェックを行い、「不正な証明書である」となった場合に、上記の
> 値がtrueだと例外で停止。falseだと停止せず、警告だけ出して続行するという
> ことですね。RFC2818的には"SHOULD"になってるチェックですが、これは1.8.6、
> 1.8.5のメンテナの判断、ということでしょうか。
>   

はい。過渡的な措置というか1.8.7以降で最終的にはきちんとチェックされるよ
うになりますので、1.8.5/1.8.6では互換性を優先させつつ警告だけ出る状態を
採用しました。

> A. 問答無用に全部post_connection_checkを追加して回る。
> B. どうしても互換性が、という人のために、
>    環境変数ENABLE_POST_CONNECTION_CHECKを見て、それが'no'だったら
>    チェックしないようにする。
> C. 各ライブラリのチーフメンテナに依頼し、それぞれ判断してもらう。
>
> Cは修正が長引くから駄目でしょう。1.8もtrunkも、http.rbを含めてAでいいと
> 思うんだけどな。どうですかmputさん。
>   

私としてもCはなしな気がします。1.8.5/1.8.6では互換性を優先させたい状況も
存在し得るので、なんらかの方法で post_connection_checkをスキップする方法
が提供されていてほしいです。というわけでBがいいと思います。