【PHP8.x】OPENSSL_ENCODING_SMIME定数の使い方

Copy
1<?php
2
3/**
4 * テキストをAES-256-CBCで暗号化・復号化する単一の関数
5 *
6 * この関数は、指定されたデータ、キー、初期化ベクトル(IV)を使用して、
7 * AES-256-CBCアルゴリズムでデータの暗号化または復号化を行います。
8 * OPENSSL_ENCODING_SMIME フラグを使用するため、暗号文はBase64エンコードされます。
9 *
10 * @param string $data 暗号化する平文、または復号化する暗号文 (Base64エンコード済み)
11 * @param string $key  暗号化/復号化に使用するキー (AES-256-CBCの場合は32バイト)
12 * @param string $iv   暗号化/復号化に使用する初期化ベクトル (AES-CBCの場合は16バイト)
13 * @param bool   $encryptMode trueの場合は暗号化、falseの場合は復号化を実行
14 * @return string|false 成功した場合は結果の文字列、失敗した場合はfalseを返します
15 */
16function handleAes256CbcEncryption(string $data, string $key, string $iv, bool $encryptMode = true): string|false
17{
18    // 暗号化アルゴリズムを指定
19    // AES-256-CBC は、256ビットキーのAES暗号をCBC (Cipher Block Chaining) モードで使用することを意味します。
20    $cipherAlgo = 'aes-256-cbc';
21
22    // OPENSSL_ENCODING_SMIME フラグの使用
23    // この定数はPHP 5.3.0以降で利用可能で、int型の値を持ちます。
24    // openssl_encrypt/decrypt 関数のオプションとして使用すると、
25    // 結果のデータがBase64エンコードされることを示します（OPENSSL_RAW_DATAが指定されない限り）。
26    // 復号化時も同じフラグを渡すことで、正しくデコードされます。
27    $options = OPENSSL_ENCODING_SMIME;
28
29    if ($encryptMode) {
30        // データの暗号化
31        // openssl_encrypt 関数は、平文を暗号化します。
32        // 第4引数の $options に OPENSSL_ENCODING_SMIME を渡すことで、結果がBase64エンコードされます。
33        $result = openssl_encrypt($data, $cipherAlgo, $key, $options, $iv);
34        if ($result === false) {
35            error_log("暗号化に失敗しました: " . openssl_error_string());
36        }
37    } else {
38        // データの復号化
39        // openssl_decrypt 関数は、暗号文を復号化します。
40        // 暗号化時と同じキー、IV、そして重要な $options (OPENSSL_ENCODING_SMIME) を指定する必要があります。
41        $result = openssl_decrypt($data, $cipherAlgo, $key, $options, $iv);
42        if ($result === false) {
43            error_log("復号化に失敗しました: " . openssl_error_string());
44        }
45    }
46
47    return $result;
48}
49
50// --- サンプル使用例 ---
51// システムエンジニアを目指す初心者向けに、具体的な使用方法を示します。
52
53// 1. 暗号化する平文の準備
54$plaintext = "PHPのOpenSSL拡張機能は、安全なデータ処理に不可欠です。";
55echo "元の平文: " . $plaintext . PHP_EOL;
56
57// 2. 暗号化キーの準備
58// AES-256-CBCでは、32バイト (256ビット) のキーが必要です。
59// **重要:** 実際のアプリケーションでは、`openssl_random_pseudo_bytes()` などで安全に生成し、
60// 環境変数やセキュアな設定ファイルで管理するなど、安全な方法でキーを管理してください。
61// ここではデモ用に固定文字列からハッシュを生成していますが、これは安全な方法ではありません。
62$encryptionKey = substr(hash('sha256', 'your_secure_secret_key_here'), 0, 32);
63echo "使用キー (32バイト, 16進数表現): " . bin2hex($encryptionKey) . PHP_EOL;
64
65// 3. 初期化ベクトル (IV) の準備
66// AES-CBCモードでは、16バイト (128ビット) のIVが必要です。
67// **重要:** IVは暗号化ごとにユニークな値であるべきで、暗号文と一緒に保存または送信されます。
68// 実際のアプリケーションでは、`openssl_random_pseudo_bytes(openssl_cipher_iv_length('aes-256-cbc'))`
69// などで安全に生成するのが一般的です。デモ用に固定文字列から生成しています。
70$iv = substr(hash('sha256', 'a_unique_iv_for_each_operation'), 0, 16);
71echo "使用IV (16バイト, 16進数表現): " . bin2hex($iv) . PHP_EOL;
72
73// 4. 平文の暗号化を実行
74echo PHP_EOL . "--- 暗号化フェーズ ---" . PHP_EOL;
75$encryptedData = handleAes256CbcEncryption($plaintext, $encryptionKey, $iv, true);
76
77if ($encryptedData !== false) {
78    echo "暗号化されたデータ (Base64エンコード済み): " . $encryptedData . PHP_EOL;
79
80    // 5. 暗号化されたデータの復号化を実行
81    echo PHP_EOL . "--- 復号化フェーズ ---" . PHP_EOL;
82    $decryptedData = handleAes256CbcEncryption($encryptedData, $encryptionKey, $iv, false);
83
84    if ($decryptedData !== false) {
85        echo "復号化された平文: " . $decryptedData . PHP_EOL;
86
87        // 6. 復号化されたデータが元の平文と一致するか検証
88        if ($plaintext === $decryptedData) {
89            echo PHP_EOL . "--- 検証結果 ---" . PHP_EOL;
90            echo "✅ 成功: 元の平文と復号化された平文が一致します。" . PHP_EOL;
91        } else {
92            echo PHP_EOL . "--- 検証結果 ---" . PHP_EOL;
93            echo "❌ 失敗: 元の平文と復号化された平文が一致しません。" . PHP_EOL;
94        }
95    } else {
96        echo "エラー: 復号化に失敗しました。" . PHP_EOL;
97    }
98} else {
99    echo "エラー: 暗号化に失敗しました。" . PHP_EOL;
100}

このPHPコードは、openssl拡張機能を利用して、AES-256-CBCアルゴリズムでテキストデータを暗号化および復号化する方法を示しています。handleAes256CbcEncryption関数が主な役割を担い、指定された平文を暗号化したり、暗号文を元の平文に戻したりします。

特に重要なのはOPENSSL_ENCODING_SMIME定数で、これはopenssl_encryptおよびopenssl_decrypt関数に渡すオプションの一つです。この定数を使用すると、暗号化されたデータが自動的にBase64エンコードされるため、文字列として扱いやすくなります。復号化時も同じオプションを渡すことで、正しくデコードされます。

handleAes256CbcEncryption関数は、暗号化または復号化するデータ（$data）、32バイトの暗号化キー（$key）、16バイトの初期化ベクトル（$iv）、そして処理モードを指定するブール値（$encryptMode）を引数として受け取ります。成功時には処理後の文字列を、失敗時にはfalseを返します。セキュリティを確保するため、$keyと$ivは毎回安全に生成し、厳重に管理することが非常に重要です。

Copy
1<?php
2
3/**
4 * PHP OpenSSL S/MIME暗号化/復号化のデモンストレーション関数。
5 * OPENSSL_ENCODING_SMIME 定数を使用して、PKCS#7 S/MIME形式でのメッセージ処理を示します。
6 *
7 * この関数は、以下の手順を実行します。
8 * 1. 一時的な作業ディレクトリを作成します。
9 * 2. テスト用のRSA秘密鍵と自己署名証明書を生成します。
10 * 3. 暗号化する平文メッセージを含む一時ファイルを作成します。
11 * 4. openssl_pkcs7_encrypt を使用して、メッセージをPKCS#7 S/MIME形式で暗号化します。
12 *    この際に OPENSSL_ENCODING_SMIME 定数をフラグとして使用します。
13 * 5. openssl_pkcs7_decrypt を使用して、暗号化されたメッセージを復号化します。
14 * 6. 元のメッセージと復号化されたメッセージが一致するか検証します。
15 * 7. 生成されたすべての一時ファイルとディレクトリをクリーンアップします。
16 */
17function demonstrateOpenSslSmimeEncryption(): void
18{
19    echo "--- PHP OpenSSL S/MIME Encryption Demonstration ---\n\n";
20
21    // 1. 一時ファイルのパスを設定し、作業ディレクトリを作成
22    $tempDir = sys_get_temp_dir() . DIRECTORY_SEPARATOR . 'openssl_smime_demo_' . uniqid();
23    if (!mkdir($tempDir) && !is_dir($tempDir)) {
24        echo "Error: Could not create temporary directory '{$tempDir}'.\n";
25        return;
26    }
27
28    $privateKeyPath = $tempDir . DIRECTORY_SEPARATOR . 'temp_key.pem';
29    $publicKeyPath = $tempDir . DIRECTORY_SEPARATOR . 'temp_cert.pem';
30    $plainInputFile = $tempDir . DIRECTORY_SEPARATOR . 'plain.txt';
31    $encryptedOutputFile = $tempDir . DIRECTORY_SEPARATOR . 'encrypted.smime';
32    $decryptedOutputFile = $tempDir . DIRECTORY_SEPARATOR . 'decrypted.txt';
33
34    // 2. テスト用の秘密鍵と自己署名証明書を生成
35    echo "Generating a temporary private key and self-signed certificate...\n";
36    $config = [
37        'private_key_bits' => 2048,           // RSAキーのビット数
38        'private_key_type' => OPENSSL_KEYTYPE_RSA, // キータイプをRSAに設定
39        'digest_alg' => 'sha256',             // ハッシュアルゴリズム
40        'encrypt_key' => false,               // 秘密鍵をパスフレーズなしでエクスポート
41    ];
42    $privateKey = openssl_pkey_new($config);
43    if (!$privateKey) {
44        echo "Error: Failed to generate private key. Check OpenSSL configuration.\n";
45        cleanupTempFiles($tempDir);
46        return;
47    }
48    openssl_pkey_export($privateKey, $privateKeyContent);
49    file_put_contents($privateKeyPath, $privateKeyContent);
50
51    // 証明書署名リクエスト (CSR) を生成し、自己署名で証明書を作成
52    $csr = openssl_csr_new(['commonName' => 'Test User'], $privateKey, $config);
53    $cert = openssl_csr_sign($csr, null, $privateKey, 365, $config); // CAをnullにして自己署名
54    openssl_x509_export($cert, $certContent);
55    file_put_contents($publicKeyPath, $certContent);
56    echo "  - Private key saved to: {$privateKeyPath}\n";
57    echo "  - Certificate saved to: {$publicKeyPath}\n\n";
58
59    // 3. 暗号化する平文データを用意
60    $originalMessage = "Hello, this is a confidential message for demonstration purposes.\n" .
61                       "It will be encrypted using PKCS#7 with S/MIME encoding in PHP.";
62    file_put_contents($plainInputFile, $originalMessage);
63    echo "Original message saved to: {$plainInputFile}\n\n";
64
65    // 4. PKCS#7 S/MIME形式で暗号化
66    echo "Attempting to encrypt the message using openssl_pkcs7_encrypt...\n";
67    echo "  (Using OPENSSL_ENCODING_SMIME flag for S/MIME encoding)\n";
68    $encryptResult = openssl_pkcs7_encrypt(
69        $plainInputFile,
70        $encryptedOutputFile,
71        $publicKeyPath,       // 受信者の証明書
72        [],                   // 追加のヘッダー (オプション)
73        OPENSSL_ENCODING_SMIME // ここで OPENSSL_ENCODING_SMIME 定数を指定
74    );
75
76    if ($encryptResult) {
77        echo "Encryption successful! Encrypted output saved to: {$encryptedOutputFile}\n";
78        echo "  (The encrypted file content is typically base64 encoded with S/MIME headers)\n\n";
79    } else {
80        echo "Encryption failed!\n";
81        while ($msg = openssl_error_string()) {
82            echo "OpenSSL Error: " . $msg . "\n";
83        }
84        cleanupTempFiles($tempDir); // エラー時は一時ファイルを削除
85        return;
86    }
87
88    // 5. PKCS#7 S/MIME形式で復号化
89    echo "Attempting to decrypt the message using openssl_pkcs7_decrypt...\n";
90    $decryptResult = openssl_pkcs7_decrypt(
91        $encryptedOutputFile,
92        $decryptedOutputFile,
93        $publicKeyPath,  // 受信者の証明書 (メッセージが正当なものか確認)
94        $privateKeyPath  // 受信者の秘密鍵 (復号化に必須)
95    );
96
97    if ($decryptResult) {
98        echo "Decryption successful! Decrypted output saved to: {$decryptedOutputFile}\n";
99        $decryptedMessage = file_get_contents($decryptedOutputFile);
100        echo "Decrypted content:\n---\n{$decryptedMessage}---\n";
101
102        if ($originalMessage === $decryptedMessage) {
103            echo "Verification: Original and decrypted messages match!\n\n";
104        } else {
105            echo "Verification: !!! Original and decrypted messages DO NOT match !!!\n\n";
106        }
107    } else {
108        echo "Decryption failed!\n";
109        while ($msg = openssl_error_string()) {
110            echo "OpenSSL Error: " . $msg . "\n";
111        }
112    }
113
114    // 6. 一時ファイルのクリーンアップ
115    cleanupTempFiles($tempDir);
116    echo "Temporary files and directory cleaned up.\n";
117    echo "\n--- Demonstration Finished ---\n";
118}
119
120/**
121 * 指定されたディレクトリとその中身を再帰的に削除するヘルパー関数。
122 *
123 * @param string $dir 削除するディレクトリのパス
124 */
125function cleanupTempFiles(string $dir): void
126{
127    if (!is_dir($dir)) {
128        return;
129    }
130    // ディレクトリ内のすべてのファイルとサブディレクトリを取得
131    $items = glob($dir . DIRECTORY_SEPARATOR . '{,.}*', GLOB_BRACE);
132    foreach ($items as $item) {
133        // '.' と '..' はスキップ
134        if (basename($item) === '.' || basename($item) === '..') {
135            continue;
136        }
137        if (is_file($item)) {
138            unlink($item); // ファイルを削除
139        } elseif (is_dir($item)) {
140            cleanupTempFiles($item); // サブディレクトリを再帰的に削除
141        }
142    }
143    rmdir($dir); // 空になったディレクトリを削除
144}
145
146// スクリプトを実行
147demonstrateOpenSslSmimeEncryption();
148

PHPのOPENSSL_ENCODING_SMIME定数は、OpenSSL拡張機能でPKCS#7形式のデータを扱う際に、Secure/Multipurpose Internet Mail Extensions (S/MIME) エンコーディングを指定するための整数値です。この定数は引数を取らず、特定の整数値を返します。

このサンプルコードは、OPENSSL_ENCODING_SMIME定数を使用して、データのPKCS#7 S/MIME形式での暗号化と復号化のプロセスを実演します。まず、一時的なRSA秘密鍵と自己署名証明書、そして暗号化対象となる平文ファイルが用意されます。

次に、openssl_pkcs7_encrypt関数が呼び出され、準備された平文ファイルが指定された証明書とOPENSSL_ENCODING_SMIMEフラグを用いてPKCS#7 S/MIME形式で暗号化されます。この関数は入力ファイル、出力ファイル、証明書パス、そしてこの定数のようなオプションのフラグを受け取り、処理の成功時にはtrue、失敗時にはfalseを返します。OPENSSL_ENCODING_SMIMEを指定することで、出力データはS/MIME形式のヘッダーを持つようになります。

続いて、openssl_pkcs7_decrypt関数が利用され、暗号化されたS/MIME形式のメッセージが秘密鍵と証明書を使って元の平文に復号化されます。この関数も入力ファイル、出力ファイル、証明書パス、秘密鍵パスを受け取り、成功時にtrue、失敗時にfalseを返します。最終的に、復号化されたメッセージと元のメッセージが一致するかどうかを検証し、使用したすべての一時ファイルとディレクトリをクリーンアップします。この一連の処理を通じて、S/MIME形式での安全なメッセージ処理の基本が理解できます。