【PHP8.x】X509_PURPOSE_SSL_CLIENT定数の使い方

Copy
1<?php
2
3/**
4 * X.509 証明書がSSLクライアント認証の目的に合致するか確認するサンプルコード。
5 *
6 * X509_PURPOSE_SSL_CLIENT は、証明書がSSLクライアント認証のために
7 * 利用可能であるかをチェックする際に openssl_x509_checkpurpose 関数で
8 * 使用される定数です。
9 */
10function demonstrateX509PurposeSslClient(): void
11{
12    // OpenSSL 拡張がPHPにロードされているかを確認します。
13    // OpenSSLは暗号化通信に必要な機能を提供するPHPの拡張機能です。
14    if (!extension_loaded('openssl')) {
15        echo "エラー: OpenSSL 拡張が有効になっていません。PHPの環境設定を確認してください。\n";
16        return;
17    }
18
19    echo "--- PHP OpenSSL X.509 証明書の目的チェック --- \n";
20
21    // 1. 秘密鍵の生成
22    // 証明書と組み合わせて使用する秘密鍵を生成します。
23    // 一般的な暗号化アルゴリズム（SHA512）と鍵長（2048ビット）を使用します。
24    $keyConfig = [
25        "digest_alg" => "sha512",
26        "private_key_bits" => 2048,
27        "private_key_type" => OPENSSL_KEYTYPE_RSA,
28    ];
29
30    $privateKey = openssl_pkey_new($keyConfig);
31    if ($privateKey === false) {
32        echo "エラー: 秘密鍵の生成に失敗しました。\n";
33        return;
34    }
35    echo "秘密鍵を生成しました。\n";
36
37    // 2. 証明書署名要求 (CSR) の生成
38    // 証明書の内容（誰のための証明書か）を定義するCSRを生成します。
39    // ここでは、クライアント認証用の証明書として想定する情報を設定します。
40    $csrInfo = [
41        "countryName" => "JP",
42        "stateOrProvinceName" => "Tokyo",
43        "localityName" => "Shinjuku",
44        "organizationName" => "Example Client Inc.",
45        "organizationalUnitName" => "IT",
46        "commonName" => "client.example.com", // クライアントの識別子
47        "emailAddress" => "client@example.com",
48    ];
49
50    $csr = openssl_csr_new($csrInfo, $privateKey, $keyConfig);
51    if ($csr === false) {
52        echo "エラー: CSR (証明書署名要求) の生成に失敗しました。\n";
53        openssl_pkey_free($privateKey); // エラー時はリソースを解放
54        return;
55    }
56    echo "CSR (証明書署名要求) を生成しました。\n";
57
58    // 3. 自己署名証明書の生成
59    // 生成したCSRと秘密鍵を使って、独自の証明書（自己署名証明書）を作成します。
60    // この証明書が「クライアント認証」に使用できることを明示するため、
61    // X.509 v3 拡張で "extendedKeyUsage=clientAuth" を設定するのが重要です。
62    // 有効期限は1日間とします。
63    $certificate = openssl_csr_sign(
64        $csr,          // 署名するCSR (証明書情報)
65        null,          // 自己署名なので、CA証明書は指定しません
66        $privateKey,   // 署名に使う秘密鍵
67        1,             // 証明書の有効期間 (日数)
68        $keyConfig,    // 鍵生成オプション (再利用)
69        [              // X.509 v3 拡張設定
70            "x509v3_extensions" => "
71                basicConstraints=CA:FALSE
72                keyUsage=digitalSignature,nonRepudiation,keyEncipherment,dataEncipherment
73                extendedKeyUsage=clientAuth
74                subjectAltName=DNS:client.example.com
75            "
76        ]
77    );
78
79    if ($certificate === false) {
80        echo "エラー: 自己署名証明書の生成に失敗しました。\n";
81        openssl_pkey_free($privateKey);
82        openssl_csr_free($csr);
83        return;
84    }
85    echo "自己署名証明書を生成しました。\n";
86
87    // 4. 生成された証明書をPEM形式の文字列として取得
88    // 証明書データは通常PEM形式（テキスト形式）で扱われます。
89    openssl_x509_export($certificate, $certificatePem);
90    echo "\n--- 生成された証明書 (PEM形式、抜粋) ---\n";
91    echo substr($certificatePem, 0, 200) . "...\n"; // 証明書の一部のみ表示
92
93    // 5. X509_PURPOSE_SSL_CLIENT 定数を使った目的チェック
94    echo "\n--- 証明書の目的チェック ---\n";
95
96    // X509_PURPOSE_SSL_CLIENT は、証明書がSSLクライアント認証に
97    // 適しているかをチェックするための定数です。
98    // その値は整数型です。
99    $purpose = X509_PURPOSE_SSL_CLIENT;
100    echo "定数 X509_PURPOSE_SSL_CLIENT の値: " . $purpose . "\n";
101
102    // openssl_x509_checkpurpose 関数を使用して、生成した証明書が
103    // X509_PURPOSE_SSL_CLIENT (SSLクライアント認証) の目的に
104    // 合致するかを確認します。
105    $isValidForClientAuth = openssl_x509_checkpurpose(
106        $certificatePem, // チェックする証明書データ (PEM形式文字列)
107        $purpose         // チェックする目的の定数
108    );
109
110    if ($isValidForClientAuth === true) {
111        echo "✅ 結果: 証明書は X509_PURPOSE_SSL_CLIENT の目的に合致しています。\n";
112    } elseif ($isValidForClientAuth === false) {
113        echo "❌ 結果: 証明書は X509_PURPOSE_SSL_CLIENT の目的に合致しません。\n";
114        // 失敗した場合、OpenSSLのエラー情報を表示すると原因究明に役立ちます。
115        while ($msg = openssl_error_string()) {
116            echo "  OpenSSLエラー: " . $msg . "\n";
117        }
118    } else {
119        echo "⚠️ 結果: openssl_x509_checkpurpose の実行中に予期せぬエラーが発生しました。\n";
120        while ($msg = openssl_error_string()) {
121            echo "  OpenSSLエラー: " . $msg . "\n";
122        }
123    }
124
125    // 6. 使用したリソースの解放
126    // メモリを効率的に使うため、生成した鍵や証明書のリソースを解放します。
127    openssl_pkey_free($privateKey);
128    openssl_csr_free($csr);
129    openssl_x509_free($certificate);
130    echo "\n生成したリソースを解放しました。\n";
131}
132
133// 上記の関数を実行して、X509_PURPOSE_SSL_CLIENT の利用方法をデモンストレーションします。
134demonstrateX509PurposeSslClient();
135

このPHPサンプルコードは、X.509証明書がSSLクライアント認証の目的に合致するかを確認する方法をデモンストレーションしています。中核となるのは、X509_PURPOSE_SSL_CLIENTという定数です。この定数は整数型の値を持ち、証明書がSSLクライアント認証用途であるかを判断する際に使用されます。

コードではまず、ダミーの秘密鍵と証明書署名要求（CSR）を生成し、それを基に自己署名証明書を作成します。この証明書を作成する際、重要な点として「extendedKeyUsage=clientAuth」というX.509v3拡張を設定し、明示的にクライアント認証目的であることを示しています。

その後、openssl_x509_checkpurpose関数を用いて、生成した証明書がX509_PURPOSE_SSL_CLIENTの目的に適合するかを検証しています。この関数は、チェックしたい証明書データと目的を示す定数（本例ではX509_PURPOSE_SSL_CLIENT）を引数として受け取ります。証明書が目的に合致すればtrue、合致しなければfalseを戻り値として返します。システムエンジニアにとって、この定数と関数は、クライアント証明書の正当性をプログラムで検証する際に不可欠なツールとなります。

Copy
1<?php
2
3/**
4 * X.509 クライアント証明書が特定の目的で有効かを確認するサンプル関数。
5 *
6 * この関数は、指定されたX.509証明書ファイルを読み込み、
7 * openssl_x509_parse を使用して証明書情報を解析し、
8 * さらに openssl_x509_checkpurpose と X509_PURPOSE_SSL_CLIENT 定数を使用して、
9 * 証明書がSSLクライアント認証の目的で利用できるかチェックします。
10 *
11 * @param string $certificateFilePath チェックするX.509証明書ファイルへのパス。
12 * @return void
13 */
14function checkClientCertificatePurpose(string $certificateFilePath): void
15{
16    // 1. 証明書ファイルが存在するか確認
17    if (!file_exists($certificateFilePath)) {
18        echo "エラー: 証明書ファイル '{$certificateFilePath}' が見つかりません。\n";
19        echo "テスト用のクライアント証明書をこのパスに配置してください。\n";
20        echo "例: openssl x509 ... -extfile <(printf \"extendedKeyUsage=clientAuth\")\n";
21        return;
22    }
23
24    // 2. 証明書の内容を読み込む
25    $certificateContent = file_get_contents($certificateFilePath);
26    if ($certificateContent === false) {
27        echo "エラー: 証明書ファイル '{$certificateFilePath}' の読み込みに失敗しました。\n";
28        return;
29    }
30
31    echo "--- 証明書情報の解析 --- \n";
32    // 3. openssl_x509_parse 関数を使用して証明書情報を解析します。
33    //    これはキーワードの要件に合わせて証明書の内容を確認するものです。
34    $parsedCertificate = openssl_x509_parse($certificateContent);
35    if ($parsedCertificate === false) {
36        echo "エラー: 証明書の解析に失敗しました。OpenSSLエラー: " . openssl_error_string() . "\n";
37        return;
38    }
39
40    // 解析された証明書情報の一部を表示
41    echo "Subject (CN): " . ($parsedCertificate['subject']['CN'] ?? 'N/A') . "\n";
42    echo "Issuer (CN): " . ($parsedCertificate['issuer']['CN'] ?? 'N/A') . "\n";
43    echo "有効期限開始: " . date('Y-m-d H:i:s', $parsedCertificate['validFrom_time_t']) . "\n";
44    echo "有効期限終了: " . date('Y-m-d H:i:s', $parsedCertificate['validTo_time_t']) . "\n";
45
46    echo "\n--- SSLクライアント認証の目的チェック ---\n";
47    // 4. openssl_x509_checkpurpose 関数と X509_PURPOSE_SSL_CLIENT 定数を使用して、
48    //    この証明書がSSLクライアント認証の目的で有効かどうかを確認します。
49    //    X509_PURPOSE_SSL_CLIENT は、証明書の "Extended Key Usage" フィールドに
50    //    "Client Authentication" が含まれているかなどをチェックします。
51    $purposeCheckResult = openssl_x509_checkpurpose(
52        $certificateContent,
53        X509_PURPOSE_SSL_CLIENT // SSLクライアント認証の目的を示す定数
54    );
55
56    // 5. チェック結果を出力
57    if ($purposeCheckResult === true) {
58        echo "結果: この証明書はSSLクライアント認証の目的で有効です。\n";
59    } elseif ($purposeCheckResult === false) {
60        echo "結果: この証明書はSSLクライアント認証の目的で有効ではありません。\n";
61        // エラー詳細を確認する場合は openssl_error_string() を使用
62        while ($error = openssl_error_string()) {
63            echo "OpenSSL 詳細エラー: " . $error . "\n";
64        }
65    } else {
66        // 何らかの理由でチェックが失敗した場合
67        echo "結果: 目的のチェック中に予期せぬエラーが発生しました。\n";
68        while ($error = openssl_error_string()) {
69            echo "OpenSSL 詳細エラー: " . $error . "\n";
70        }
71    }
72}
73
74// スクリプトの実行例:
75// このスクリプトと同じディレクトリに 'client.crt' という名前で
76// 有効なクライアント証明書を配置してください。
77//
78// 例として、OpenSSLでクライアント認証用の自己署名証明書を生成する手順:
79// 1. 秘密鍵を生成: openssl genrsa -out client.key 2048
80// 2. 証明書署名要求 (CSR) を生成: openssl req -new -key client.key -out client.csr -subj "/CN=testclient.example.com/O=TestOrg"
81// 3. クライアント認証用の拡張機能を含む自己署名証明書を生成:
82//    openssl x509 -req -days 365 -in client.csr -signkey client.key -out client.crt -extfile <(printf "extendedKeyUsage=clientAuth")
83$clientCertFilePath = __DIR__ . '/client.crt';
84checkClientCertificatePurpose($clientCertFilePath);

PHPのX509_PURPOSE_SSL_CLIENT定数は、X.509証明書がSSLクライアント認証の目的で利用可能であるかを判断する際に使用される整数値の定数です。このサンプルコードでは、まず指定されたX.509証明書ファイルを読み込み、openssl_x509_parse関数を用いて証明書の詳細な情報を解析します。これにより、証明書の基本的な情報（発行者、有効期限など）をプログラムで取得できます。次に、openssl_x509_checkpurpose関数とX509_PURPOSE_SSL_CLIENT定数を組み合わせて使用し、この証明書が「SSLクライアント認証」の目的に適合しているかを検証します。この定数は、証明書の拡張情報（例: Extended Key Usageフィールド）にクライアント認証の用途が含まれているかなどを確認する役割を果たします。checkClientCertificatePurpose関数は、$certificateFilePathという文字列型の引数としてチェック対象の証明書ファイルへのパスを受け取ります。この関数自体は特定の値を返さず（void）、処理結果やエラーメッセージを直接画面に出力することで、証明書の用途適合性をシステムエンジニアが簡単に確認できるようにしています。これにより、セキュリティ要件に合わせた証明書の検証を自動化できます。