【PHP8.x】STREAM_CRYPTO_METHOD_SSLv2_SERVER定数の使い方

Copy
1<?php
2
3/**
4 * STREAM_CRYPTO_METHOD_SSLv2_SERVER を使用して、SSLv2 暗号化を有効にするサーバーサイドの例です。
5 *
6 * 警告: SSLv2 は非常に安全性が低く、非推奨のプロトコルです。
7 *       このコードは、リファレンス情報に指定された定数の使用方法を示すためのものです。
8 *       実稼働環境では、TLSv1.2 またはそれ以上の安全なプロトコルを使用してください。
9 */
10function runSslv2ServerExample(): void
11{
12    // サーバーのホストとポートを定義
13    $host = '127.0.0.1';
14    $port = 8443;
15    $address = "tcp://$host:$port"; // まずはプレーンなTCPソケットとして開始
16
17    // サーバー証明書と秘密鍵の結合ファイルのパス
18    // 自己署名証明書を生成する例 (パスフレーズなし):
19    // openssl req -x509 -newkey rsa:2048 -keyout server.pem -out server.pem -nodes -days 365
20    $pemFile = __DIR__ . '/server.pem';
21
22    if (!file_exists($pemFile)) {
23        echo "エラー: '{$pemFile}' が見つかりません。\n";
24        echo "続行するには、自己署名証明書と秘密鍵のファイルを生成して、このスクリプトと同じディレクトリに配置してください。\n";
25        echo "例: openssl req -x509 -newkey rsa:2048 -keyout server.pem -out server.pem -nodes -days 365\n";
26        return;
27    }
28
29    // SSLハンドシェイクのためのコンテキストオプション
30    // local_cert には、サーバー証明書と秘密鍵を含むPEMファイルを指定します。
31    // allow_self_signed は、自己署名証明書を使用する場合に必要です。
32    // verify_peer は、クライアント証明書の検証をスキップします (デモ目的)。
33    $sslContextOptions = [
34        'ssl' => [
35            'local_cert'        => $pemFile,
36            'allow_self_signed' => true,
37            'verify_peer'       => false,
38            // 'passphrase'     => 'あなたのパスフレーズ', // キーにパスフレーズがある場合はコメント解除
39        ],
40    ];
41
42    // プレーンなTCPサーバーソケットを作成し、バインドしてリッスンを開始
43    $serverSocket = @stream_socket_server(
44        $address,
45        $errno,
46        $errstr,
47        STREAM_SERVER_BIND | STREAM_SERVER_LISTEN
48    );
49
50    if (!$serverSocket) {
51        echo "エラー: サーバーソケットを作成できませんでした ($errno) $errstr\n";
52        return;
53    }
54
55    echo "サーバーは $address でリッスン中 (プレーンなTCP)...\n";
56    echo "クライアントからの接続を待機中...\n";
57
58    // クライアントからの接続を受け入れる (初期はプレーンなTCP)
59    $clientSocket = @stream_socket_accept($serverSocket, -1, $peerName); // -1 でブロックして待機
60
61    if (!$clientSocket) {
62        echo "エラー: クライアント接続を受け入れできませんでした。\n";
63        fclose($serverSocket);
64        return;
65    }
66
67    echo "クライアント ($peerName) が接続しました。初期接続はプレーンなTCPです。\n";
68
69    // クライアントソケットで暗号化を有効にする
70    // ここで STREAM_CRYPTO_METHOD_SSLv2_SERVER 定数とSSLコンテキストを使用します。
71    $enableCryptoResult = stream_socket_enable_crypto(
72        $clientSocket,
73        true, // 暗号化を有効にする
74        STREAM_CRYPTO_METHOD_SSLv2_SERVER, // 指定された暗号化メソッド
75        stream_context_create($sslContextOptions) // SSLハンドシェイクのためのコンテキストを渡す
76    );
77
78    if ($enableCryptoResult === true) {
79        echo "SSL/TLSハンドシェイクが成功しました (SSLv2 サーバーモード)。\n";
80        // 暗号化された接続を介してクライアントにメッセージを送信
81        fwrite($clientSocket, "PHP SSLv2 暗号化サーバーからのハロー！\n");
82        echo "クライアントに 'PHP SSLv2 暗号化サーバーからのハロー！' を送信しました。\n";
83
84        // クライアントからのデータ読み取り (オプション)
85        // $data = fread($clientSocket, 1024);
86        // if ($data !== false && $data !== '') {
87        //     echo "クライアントから受信: " . trim($data) . "\n";
88        // }
89
90    } elseif ($enableCryptoResult === false) {
91        echo "SSL/TLSハンドシェイクがクライアントと失敗しました。\n";
92    } elseif ($enableCryptoResult === 0) {
93        echo "SSL/TLSハンドシェイクにはさらなるデータが必要です (単純なブロッキングケースでは発生しないはずです)。\n";
94    }
95
96    // クライアント接続を閉じる
97    fclose($clientSocket);
98    echo "クライアントが切断しました。\n";
99
100    // サーバーソケットを閉じる
101    fclose($serverSocket);
102    echo "サーバーが停止しました。\n";
103}
104
105// 関数を実行してサーバーを起動
106runSslv2ServerExample();

PHPの定数STREAM_CRYPTO_METHOD_SSLv2_SERVERは、ネットワーク通信においてSSLv2プロトコルを使用した暗号化をサーバー側で有効にするための識別子です。この定数自体に引数や戻り値はありません。

サンプルコードは、stream_socket_enable_crypto関数を用いて、TCPソケット接続をSSLv2で暗号化するサーバーの動作を示しています。まず、stream_socket_server関数でプレーンなTCPサーバーソケットを作成し、stream_socket_accept関数でクライアントからの接続を受け入れます。その後、受け入れたクライアントソケットに対してstream_socket_enable_crypto関数を呼び出し、第3引数にSTREAM_CRYPTO_METHOD_SSLv2_SERVERを指定することで、SSLv2による暗号化ハンドシェイクを開始します。この際、stream_context_createで作成したSSLコンテキストを渡して、サーバー証明書などの設定を行います。

stream_socket_enable_crypto関数は、暗号化が成功すればtrueを、失敗すればfalseを、処理が継続中であれば0を返します。これにより、クライアントとの安全な通信経路が確立され、データの送受信が可能になります。

ただし、重要な注意点として、SSLv2プロトコルはセキュリティ上の脆弱性が多数発見されており、現在では非推奨とされています。実稼働環境では、TLSv1.2以降のより安全なプロトコルを使用することが強く推奨されます。このサンプルコードは、定数の使用方法を示す目的で提供されています。

Copy
1<?php
2
3/**
4 * 安全なネットワーク接続を確立するサンプル関数。
5 * システムエンジニアを目指す初心者向けに、ストリーム暗号化メソッド定数の使用法を示します。
6 *
7 * 注釈:
8 * - リファレンス情報で指定された定数 STREAM_CRYPTO_METHOD_SSLv2_SERVER は、
9 *   PHP 7.1で非推奨となり、PHP 8.0で削除されました。SSLv2はセキュリティ上の脆弱性があるため、
10 *   本番環境での使用は絶対に避けるべきです。
11 * - キーワードにある STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT は、より安全なTLSv1.2プロトコルを
12 *   クライアント側で強制するために使用する定数です。
13 * - この定数 (STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT) はPHP 5.6.0以降で利用可能です。
14 *   キーワードの 'php 5.4' は、この定数には対応していません。
15 *   以下のサンプルコードは、PHP 5.6以降、特にPHP 8環境での推奨される実践を示します。
16 *
17 * @param string $host 接続先ホスト名 (例: 'www.example.com')
18 * @param int $port 接続先ポート番号 (例: 443 for HTTPS)
19 * @return resource|false 成功した場合はソケットストリーム、失敗した場合はfalse
20 */
21function connectSecureStream(string $host, int $port)
22{
23    // SSL/TLS接続のためのコンテキストオプションを設定
24    $contextOptions = [
25        'ssl' => [
26            // STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT を指定し、クライアント側でTLSv1.2を強制
27            // これにより、より古い、安全でないプロトコルが使用されることを防ぎます。
28            'crypto_method' => STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT,
29            // サーバー証明書の検証を有効にし、中間者攻撃を防ぎます。
30            'verify_peer' => true,
31            'verify_peer_name' => true,
32            'allow_self_signed' => false,
33            // 信頼された認証局 (CA) の証明書バンドルへのパスを指定します。
34            // 環境に合わせて適切なパスに設定してください (例: Linux '/etc/ssl/certs/ca-certificates.crt')。
35            'cafile' => '/etc/ssl/certs/ca-certificates.crt',
36            // 'capath' => '/etc/ssl/certs', // cafile または capath のいずれか、あるいは両方を使用
37        ],
38    ];
39
40    // コンテキストを作成
41    $streamContext = stream_context_create($contextOptions);
42
43    // TLS接続用のソケットストリームを確立
44    // 'tls://' プレフィックスを使用すると、stream_socket_client がTLS接続を試みます。
45    $socket = stream_socket_client(
46        "tls://{$host}:{$port}",
47        $errno,
48        $errstr,
49        30, // 接続タイムアウト (秒)
50        STREAM_CLIENT_CONNECT,
51        $streamContext
52    );
53
54    if (!$socket) {
55        // 接続失敗時にエラーログを出力
56        error_log("Failed to connect to {$host}:{$port}. Error: [$errno] $errstr");
57        return false;
58    }
59
60    // 接続成功
61    return $socket;
62}
63
64// --- サンプル使用例 ---
65// このコードは単体で動作可能ですが、実際の接続には外部へのネットワークアクセスが必要です。
66$targetHost = 'www.google.com';
67$targetPort = 443;
68
69echo "Attempting to establish a secure connection to {$targetHost}:{$targetPort}...\n";
70$secureSocket = connectSecureStream($targetHost, $targetPort);
71
72if ($secureSocket) {
73    echo "Secure connection established successfully to {$targetHost}!\n";
74    // ここでデータを送信し、応答を読み取ることができます。
75    // 例: HTTP/1.1 GETリクエストを送信
76    $request = "GET / HTTP/1.1\r\nHost: {$targetHost}\r\nConnection: Close\r\n\r\n";
77    fwrite($secureSocket, $request);
78
79    // 応答を読み取って表示
80    echo "Reading response:\n";
81    while (!feof($secureSocket)) {
82        echo fgets($secureSocket, 8192);
83    }
84
85    fclose($secureSocket);
86    echo "\nConnection closed.\n";
87} else {
88    echo "Failed to establish a secure connection.\n";
89}

このPHPサンプルコードは、ネットワークを介した安全な通信を確立するための基本的な方法をシステムエンジニアを目指す初心者向けに示しています。connectSecureStream関数は、接続先のホスト名（$host）とポート番号（$port）を受け取り、暗号化されたソケットストリーム（通信経路）を確立します。接続に成功した場合はそのストリームを、失敗した場合はfalseを戻り値として返します。

本コードの重要な点は、STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT定数を用いて、より安全なTLSv1.2プロトコルでの接続を強制していることです。これにより、古い脆弱なプロトコルが使用されるのを防ぎます。この定数はPHP 5.6以降で利用可能であり、キーワードにあるPHP 5.4環境では動作しません。リファレンス情報に記載されているSTREAM_CRYPTO_METHOD_SSLv2_SERVER定数は、セキュリティ上の問題からPHP 8.0で削除された古いプロトコルを指すため、決して使用してはいけません。

安全な接続のためには、接続先のサーバーが信頼できるものであることを確認することが不可欠です。そのため、コードではverify_peerやverify_peer_nameといったオプションを設定し、サーバー証明書の検証を有効にしています。これらの設定はstream_context_create関数でまとめられ、stream_socket_client関数が実際にTLSプロトコルを用いた安全な接続を確立します。これは、インターネット上で個人情報などを安全にやり取りするための基盤となる技術です。