【PHP8.x】STREAM_CRYPTO_METHOD_SSLv23_SERVER定数の使い方

Copy
1<?php
2
3/**
4 * 自己署名証明書と秘密鍵を生成し、指定されたファイルに保存します。
5 * 開発環境でのテスト目的で使用されます。
6 *
7 * @param string $certFile 証明書を保存するファイルパス
8 * @param string $keyFile 秘密鍵を保存するファイルパス
9 * @return bool 成功した場合はtrue、失敗した場合はfalse
10 */
11function _generateSelfSignedCert(string $certFile, string $keyFile): bool
12{
13    // 既存のファイルを削除してクリーンな状態にする
14    if (file_exists($certFile)) {
15        unlink($certFile);
16    }
17    if (file_exists($keyFile)) {
18        unlink($keyFile);
19    }
20
21    $dn = [
22        "countryName" => "JP",
23        "stateOrProvinceName" => "Tokyo",
24        "localityName" => "Shibuya",
25        "organizationName" => "ExampleOrg",
26        "organizationalUnitName" => "IT",
27        "commonName" => "localhost",
28        "emailAddress" => "webmaster@example.com"
29    ];
30
31    // 新しい秘密鍵を生成します
32    $privkey = openssl_pkey_new();
33    if (!$privkey) {
34        error_log("Failed to generate private key.");
35        return false;
36    }
37
38    // CSR (Certificate Signing Request) を生成します
39    $csr = openssl_csr_new($dn, $privkey);
40    if (!$csr) {
41        error_log("Failed to generate CSR.");
42        return false;
43    }
44
45    // 自己署名証明書を生成します (有効期間1日)
46    // 開発/テスト目的のため、CAは不要 (null)
47    $sscert = openssl_csr_sign($csr, null, $privkey, $days = 1);
48    if (!$sscert) {
49        error_log("Failed to self-sign certificate.");
50        return false;
51    }
52
53    // 証明書をファイルにエクスポートします
54    if (!openssl_x509_export_to_file($sscert, $certFile)) {
55        error_log("Failed to export certificate to file: " . $certFile);
56        return false;
57    }
58
59    // 秘密鍵をファイルにエクスポートします
60    if (!openssl_pkey_export_to_file($privkey, $keyFile)) {
61        error_log("Failed to export private key to file: " . $keyFile);
62        return false;
63    }
64
65    openssl_x509_free($sscert);
66    openssl_pkey_free($privkey);
67
68    return true;
69}
70
71/**
72 * STREAM_CRYPTO_METHOD_SSLv23_SERVER 定数を使用したTLS/SSLサーバーのサンプルコード。
73 *
74 * この関数は、ローカルでTLS/SSLサーバーを立ち上げ、クライアントからの接続を受け入れ、
75 * stream_socket_enable_crypto() 関数を使って暗号化通信を有効にするプロセスを示します。
76 * 自己署名証明書を生成し、単体で動作可能です。
77 */
78function runTlsServerWithCryptoMethodExample(): void
79{
80    // 証明書と秘密鍵のファイルパスを定義
81    $certFile = __DIR__ . '/server.crt';
82    $keyFile = __DIR__ . '/server.key';
83
84    // 証明書または秘密鍵が存在しない場合、テスト用に生成を試みる
85    if (!file_exists($certFile) || !file_exists($keyFile)) {
86        echo "テスト用の自己署名証明書と秘密鍵を生成中...\n";
87        if (!_generateSelfSignedCert($certFile, $keyFile)) {
88            echo "証明書/秘密鍵の生成に失敗しました。終了します。\n";
89            return;
90        }
91        echo "証明書と秘密鍵が生成されました。\n";
92    }
93
94    $port = 8000;
95    $address = 'tcp://127.0.0.1:' . $port;
96
97    // TLS/SSLサーバーソケットの設定
98    // local_cert: サーバーの公開鍵証明書
99    // local_pk: サーバーの秘密鍵
100    // allow_self_signed: 自己署名証明書を許可するか (テスト目的)
101    // verify_peer: クライアント証明書の検証を行うか (今回は行わない)
102    $contextOptions = [
103        'ssl' => [
104            'local_cert' => $certFile,
105            'local_pk' => $keyFile,
106            'allow_self_signed' => true,
107            'verify_peer' => false,
108        ]
109    ];
110    $context = stream_context_create($contextOptions);
111
112    // サーバーソケットを作成し、指定アドレスでリッスンを開始
113    // STREAM_SERVER_LISTEN: 接続待ち状態にする
114    // STREAM_SERVER_PERSISTENT: 永続的なソケットを作成 (オプション)
115    $server = @stream_socket_server($address, $errno, $errstr, STREAM_SERVER_LISTEN | STREAM_SERVER_PERSISTENT, $context);
116
117    if (!$server) {
118        echo "エラー: サーバーソケットの作成に失敗しました ($errno: $errstr)\n";
119        return;
120    }
121
122    echo "サーバーが $address で待機中...\n";
123    echo "クライアントからの接続を待っています...\n";
124
125    // クライアントからの接続を受け入れる (ブロッキングモード)
126    $client = @stream_socket_accept($server, -1);
127    if (!$client) {
128        echo "エラー: クライアント接続の受け入れに失敗しました。\n";
129        fclose($server);
130        return;
131    }
132
133    echo "クライアントが接続しました。\n";
134
135    // クライアントソケットでTLS/SSL暗号化を有効にする
136    // stream_socket_enable_crypto(): 既存のソケット接続に暗号化を適用
137    // 第2引数: trueでサーバーモード、falseでクライアントモード
138    // STREAM_CRYPTO_METHOD_SSLv23_SERVER: サーバー側で利用する暗号化メソッド。
139    //   PHP 8では、この定数を使用しても自動的に利用可能な最も新しいTLSプロトコル（例: TLSv1.2, TLSv1.3）が選択されます。
140    $enableCryptoResult = @stream_socket_enable_crypto(
141        $client,
142        true, // サーバーモード
143        STREAM_CRYPTO_METHOD_SSLv23_SERVER
144    );
145
146    if ($enableCryptoResult === false) {
147        echo "エラー: クライアントソケットでのTLS/SSL暗号化の有効化に失敗しました。\n";
148        fclose($client);
149        fclose($server);
150        return;
151    } elseif ($enableCryptoResult === 0) {
152        // 非ブロッキングモードの場合に発生する可能性あり。今回はブロッキングなので通常はtrue/false。
153        echo "TLS/SSLハンドシェイクが進行中です (通常、ブロッキングモードではすぐに完了します)。\n";
154    } else { // $enableCryptoResult === true
155        echo "TLS/SSL暗号化が正常に有効になりました。暗号化された通信を開始します。\n";
156
157        // 暗号化されたソケットでデータを送信
158        $messageToSend = "TLSサーバーからのメッセージ: これは暗号化されたデータです！\n";
159        fwrite($client, $messageToSend);
160        echo "送信済み: " . $messageToSend;
161
162        // 暗号化されたソケットからデータを受信
163        echo "クライアントからのデータを受信待機中...\n";
164        $receivedData = fread($client, 1024);
165        if ($receivedData !== false && $receivedData !== '') {
166            echo "受信済み: " . $receivedData;
167        } else {
168            echo "クライアントからデータを受信できなかったか、エラーが発生しました。\n";
169        }
170    }
171
172    // 接続を閉じる
173    fclose($client);
174    fclose($server);
175
176    echo "接続が閉じられました。サーバー処理を終了します。\n";
177
178    // 生成した証明書と秘密鍵をクリーンアップする場合は以下のコメントを解除
179    // unlink($certFile);
180    // unlink($keyFile);
181}
182
183// サンプル関数を実行します
184runTlsServerWithCryptoMethodExample();

STREAM_CRYPTO_METHOD_SSLv23_SERVERは、PHPでストリームソケット（ネットワーク通信）にTLS/SSL暗号化を適用する際に、サーバー側で利用する暗号化プロトコル群を指定するための定数です。主にstream_socket_enable_crypto()関数の第3引数で使用されます。

この定数の名前には「SSLv23」とありますが、PHP 8では自動的に利用可能な最も新しいバージョンのTLS（Transport Layer Security）プロトコル（例えばTLSv1.2やTLSv1.3など）が選択され、より安全な通信が実現されます。これは後方互換性を保ちつつ、セキュリティを向上させるための挙動です。

サンプルコードでは、この定数を用いて簡易的なTLSサーバーを構築する手順を示しています。まず、通信に必要な自己署名証明書と秘密鍵を生成し、stream_context_create()でSSLコンテキストを作成します。その後、stream_socket_server()でソケットサーバーを起動し、stream_socket_accept()でクライアントからの接続を受け入れます。

クライアントとの接続が確立されたら、stream_socket_enable_crypto($client, true, STREAM_CRYPTO_METHOD_SSLv23_SERVER)を呼び出すことで、その接続に対するTLS/SSL暗号化をサーバー側で有効にします。これにより、クライアントとサーバー間でやり取りされるデータが暗号化され、安全な通信が可能になります。暗号化が成功すると、以降のfread()やfwrite()は暗号化されたデータを扱います。この定数は戻り値を持たず、引数も取りません。

Copy
1<?php
2
3declare(strict_types=1);
4
5/**
6 * 指定されたHTTPS URLからコンテンツを安全に取得します。
7 * この関数は、クライアント接続時にTLSv1.2の暗号化メソッドを強制する方法を示します。
8 *
9 * @param string $url 取得するHTTPS URL（例: 'https://api.github.com/zen'）
10 * @return string|null 成功した場合は取得したコンテンツ、エラーが発生した場合はnull
11 */
12function fetchSecureContentWithTls1_2Client(string $url): ?string
13{
14    // ストリームコンテキストオプションを定義します。
15    // 'ssl' キーは、SSL/TLS接続に関連する設定をグループ化します。
16    // 'crypto_method' は、ストリームの暗号化にどのプロトコルを使用するかを指定します。
17    // STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT は、クライアント側でTLSv1.2を必須とします。
18    // (参考: リファレンスで指定された STREAM_CRYPTO_METHOD_SSLv23_SERVER は、
19    // サーバーとして接続を受け入れる際に使用される定数です。)
20    $contextOptions = [
21        'ssl' => [
22            'crypto_method' => STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT,
23            // 本番環境では、'verify_peer' と 'verify_peer_name' を true に設定し、
24            // 'cafile' または 'capath' で信頼できる認証局を指定することを強く推奨します。
25            // この例では簡潔さのため省略していますが、セキュリティ上重要です。
26            // 'verify_peer' => true,
27            // 'verify_peer_name' => true,
28            // 'cafile' => '/path/to/your/cacert.pem',
29        ],
30    ];
31
32    // 上記のオプションを使用してストリームコンテキストを作成します。
33    $context = stream_context_create($contextOptions);
34
35    // file_get_contents() を使用してURLからコンテンツを取得します。
36    // 第3引数に作成したコンテキストを渡すことで、SSL/TLS設定が適用されます。
37    // エラー発生時は @ 演算子で警告を抑制し、後で false をチェックします。
38    $content = @file_get_contents($url, false, $context);
39
40    if ($content === false) {
41        // コンテンツの取得に失敗した場合、エラーログに出力しnullを返します。
42        error_log("Failed to fetch content from $url. Please check the URL, network connection, or SSL/TLS settings.");
43        return null;
44    }
45
46    return $content;
47}
48
49// --- サンプル使用例 ---
50// 実際にアクセス可能なHTTPS URLに置き換えてください。
51// GitHubのZenメッセージAPIはシンプルなテキストを返し、テストに適しています。
52$targetUrl = 'https://api.github.com/zen';
53$fetchedContent = fetchSecureContentWithTls1_2Client($targetUrl);
54
55if ($fetchedContent !== null) {
56    echo "Successfully fetched content using TLSv1.2 client method:\n";
57    echo "--------------------------------------------------------\n";
58    echo $fetchedContent . "\n";
59    echo "--------------------------------------------------------\n";
60} else {
61    echo "Failed to fetch content using TLSv1.2 client method.\n";
62}
63
64?>

このPHPサンプルコードは、HTTPS通信でWebサイトのコンテンツを安全に取得する方法を示しています。特に、クライアントとして接続する際に、TLSv1.2という特定の暗号化プロトコルの使用を強制する設定に焦点を当てています。

fetchSecureContentWithTls1_2Client 関数は、取得したいHTTPS URLを $url 引数として受け取ります。この関数は、stream_context_create を利用して通信に関する設定（ストリームコンテキスト）を作成します。その設定の中で、'ssl' オプションの 'crypto_method' に STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT という定数を指定しています。この定数は、クライアント側がTLSv1.2プロトコルを必須として通信することを要求する役割があり、これにより、より新しい安全な暗号化方式での通信が保証されます。作成されたコンテキストは file_get_contents 関数に渡され、指定されたURLからコンテンツを取得します。

関数の戻り値は、コンテンツの取得に成功した場合、その内容を文字列として返します。ネットワークエラーやSSL/TLS設定の問題などにより取得に失敗した場合は null を返して、処理の失敗を示します。このコードは、外部のWebサービスなどからデータを安全に取得するための基本的な手順と、特定のセキュリティプロトコルを強制する設定方法を学ぶのに役立ちます。