【PHP8.x】STREAM_CRYPTO_METHOD_TLSv1_0_SERVER定数の使い方

Copy
1<?php
2
3/**
4 * TLSv1.2プロトコルを使用して安全なクライアント接続を試みるサンプル関数です。
5 *
6 * この関数は、STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT 定数を用いて、
7 * クライアントがTLSv1.2プロトコルを強制的に使用するよう設定する方法を示します。
8 * 主に、安全なネットワーク通信を行うストリームコンテキストの作成に使用されます。
9 *
10 * @param string $host 接続先のホスト名（例: 'example.com'）
11 * @param int $port 接続先のポート番号（例: 443 for HTTPS）
12 * @return void
13 */
14function attemptTls12ClientConnection(string $host, int $port): void
15{
16    // ストリームコンテキスト用のオプションを定義します。
17    // ここでSSL/TLS接続に関する詳細な設定を行います。
18    $contextOptions = [
19        'ssl' => [
20            // クライアント側でTLSv1.2のみを使用するように指定します。
21            // STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT はPHP 5.6.0以降で利用可能です。
22            'crypto_method' => STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT,
23
24            // 接続先のサーバー証明書が正当であることを検証します。
25            // セキュリティのため、通常は true に設定します。
26            'verify_peer' => true,
27
28            // サーバー証明書のCN (Common Name) や subjectAltName がホスト名と一致するか検証します。
29            // セキュリティのため、通常は true に設定します。
30            'verify_peer_name' => true,
31
32            // 自己署名証明書を許可しません。本番環境では false を推奨します。
33            'allow_self_signed' => false,
34
35            // 必要に応じて 'cafile' や 'capath' で特定のCA証明書を指定することも可能です。
36        ],
37    ];
38
39    // 定義したオプションを使って、ストリームコンテキストを作成します。
40    // このコンテキストは、stream_socket_client() などの関数に渡されます。
41    $context = stream_context_create($contextOptions);
42
43    // 接続時に発生したエラーコードとエラーメッセージを格納するための変数です。
44    $errorCode = 0;
45    $errorMessage = '';
46
47    // 指定されたホストとポートに安全なソケット接続を試みます。
48    // 'ssl://' プレフィックスは、SSL/TLS暗号化を有効にすることを示します。
49    // タイムアウトを30秒に設定し、作成したコンテキストを使用します。
50    $socket = stream_socket_client(
51        "ssl://{$host}:{$port}",
52        $errorCode,
53        $errorMessage,
54        30, // タイムアウト（秒）
55        STREAM_CLIENT_CONNECT,
56        $context // 作成したSSL/TLS設定を含むコンテキストを渡します。
57    );
58
59    // 接続が成功したかを確認します。
60    if ($socket === false) {
61        // 接続失敗の場合、エラーメッセージを出力します。
62        echo "エラー: {$host}:{$port} へのセキュアな接続に失敗しました。\n";
63        echo "詳細: (エラーコード: {$errorCode}) {$errorMessage}\n";
64    } else {
65        // 接続成功の場合、その旨を出力します。
66        echo "成功: {$host}:{$port} へのTLSv1.2セキュア接続が確立されました。\n";
67        // 実際のアプリケーションでは、ここでソケットからデータを送受信します。
68        // 例: fwrite($socket, "GET / HTTP/1.1\r\nHost: {$host}\r\nConnection: close\r\n\r\n");
69        //     while (!feof($socket)) {
70        //         echo fgets($socket, 1024);
71        //     }
72
73        // 接続を閉じます。リソースリークを防ぐために重要です。
74        fclose($socket);
75        echo "接続を閉じました。\n";
76    }
77}
78
79// サンプルコードとして、ダミーのドメイン 'example.com' への接続を試みます。
80// このドメインはHTTPSに対応しており、証明書も有効なため、通常は接続成功します。
81attemptTls12ClientConnection('example.com', 443);

このサンプルコードは、PHPでTLSv1.2プロトコルを使用して安全なクライアント接続を確立する方法を示しています。attemptTls12ClientConnection関数は、引数$hostで指定されたホスト名と引数$portで指定されたポート番号に対し、セキュアなネットワーク通信を試みます。

重要なのは、STREAM_CRYPTO_METHOD_TLSv1_2_CLIENT定数を使用している点です。この定数は、ストリームコンテキストのオプションとして設定され、クライアントがTLSv1.2プロトコルのみを利用して接続するよう強制します。これにより、古いTLSプロトコルを無効にし、通信のセキュリティレベルを向上させることが可能です。

ストリームコンテキストでは、verify_peerやverify_peer_nameをtrueに設定することで、サーバー証明書の正当性を検証し、接続先の信頼性を確認しています。これにより、中間者攻撃などのセキュリティリスクを低減します。stream_socket_client関数を用いて実際の接続を試み、成功した場合はその旨を、失敗した場合はエラーメッセージを出力します。

関数の戻り値はvoidであり、直接的な値を返さず、処理結果を画面に出力することで完了を示します。このサンプルは、セキュアな通信設定の基本を学ぶ上で役立ちます。

Copy
1<?php
2
3/**
4 * PHP TLS サーバーのサンプルコード
5 *
6 * STREAM_CRYPTO_METHOD_TLSv1_0_SERVER 定数を使用して、
7 * クライアント接続に対してTLSv1.0による暗号化をサーバー側で有効にする例です。
8 *
9 * このスクリプトを動作させるには、自己署名証明書と秘密鍵が必要です。
10 * 以下のコマンドで生成し、スクリプトと同じディレクトリに配置してください。
11 *
12 * 1. 秘密鍵を生成:
13 *    openssl genrsa -out server.key 2048
14 *
15 * 2. 証明書署名要求 (CSR) を生成:
16 *    openssl req -new -key server.key -out server.csr -subj "/CN=localhost"
17 *    (Common Name は 'localhost' など適切なものに設定してください)
18 *
19 * 3. 自己署名証明書を生成:
20 *    openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
21 */
22
23// 証明書と秘密鍵のファイルパス
24$certFile = 'server.crt'; // 公開鍵証明書へのパス
25$keyFile  = 'server.key'; // 秘密鍵へのパス
26
27// 必要なファイルが存在するか確認し、存在しない場合は終了
28if (!file_exists($certFile) || !file_exists($keyFile)) {
29    die("エラー: TLSサーバーを起動するには、証明書ファイル '{$certFile}' と秘密鍵ファイル '{$keyFile}' が必要です。\n" .
30        "上記コメントの指示に従ってファイルを生成し、スクリプトと同じディレクトリに配置してください。\n");
31}
32
33// SSL/TLS コンテキストオプションを設定
34// これらはstream_socket_enable_crypto がTLSハンドシェイクを行う際に参照されます。
35$contextOptions = [
36    'ssl' => [
37        'local_cert'        => $certFile,        // 公開鍵証明書
38        'local_pk'          => $keyFile,         // 秘密鍵
39        'allow_self_signed' => true,             // 自己署名証明書を許可 (テスト用途)
40        'verify_peer'       => false,            // クライアントからの証明書検証を無効化 (テスト用途)
41    ],
42];
43
44// ストリームコンテキストを作成
45$context = stream_context_create($contextOptions);
46
47// TCPサーバーソケットを作成 (ポート8000で待機)
48// ここでは 'tcp://' スキームを使用し、クライアント接続後に手動で暗号化を有効にします。
49$server = stream_socket_server("tcp://0.0.0.0:8000", $errno, $errstr, STREAM_SERVER_BIND | STREAM_SERVER_LISTEN, $context);
50
51if (!$server) {
52    die("エラー: サーバーソケットの作成に失敗しました: {$errstr} ({$errno})\n");
53}
54
55echo "PHP TLSサーバーが 0.0.0.0:8000 で待機中...\n";
56
57// クライアントからの接続を無限ループで待機
58while (true) {
59    // クライアント接続を受け入れる (-1 はブロックモード、接続があるまで待機)
60    $conn = stream_socket_accept($server, -1, $peerName);
61    if ($conn === false) {
62        echo "エラー: クライアント接続の受け入れに失敗しました。\n";
63        continue;
64    }
65
66    echo "クライアントが接続しました: {$peerName}\n";
67
68    // 接続ストリームに対してTLS暗号化を有効にする (サーバーモード)
69    // STREAM_CRYPTO_METHOD_TLSv1_0_SERVER 定数を使用し、TLSv1.0を指定します。
70    // 注意: TLSv1.0 は現代のセキュリティ基準では非推奨です。
71    // 実際の運用では、より新しいTLSバージョン (例: STREAM_CRYPTO_METHOD_TLSv1_2_SERVER, STREAM_CRYPTO_METHOD_TLSv1_3_SERVER) 
72    // の使用が強く推奨されます。
73    $cryptoEnabled = stream_socket_enable_crypto($conn, true, STREAM_CRYPTO_METHOD_TLSv1_0_SERVER);
74
75    if ($cryptoEnabled) {
76        echo "TLS暗号化が正常に有効になりました (使用プロトコル: TLSv1.0).\n";
77
78        // 暗号化されたストリームを通じてデータを読み取り
79        $readData = fread($conn, 1024);
80        if ($readData !== false) {
81            echo "受信データ: " . trim($readData) . "\n";
82        } else {
83            echo "データの読み取りに失敗しました。\n";
84        }
85
86        // 暗号化されたストリームを通じて応答を書き込み
87        $writeData = "Hello from PHP TLS Server (via TLSv1.0)!";
88        $bytesWritten = fwrite($conn, $writeData);
89        if ($bytesWritten !== false) {
90            echo "応答を送信しました: '{$writeData}' ({$bytesWritten} バイト)\n";
91        } else {
92            echo "応答の送信に失敗しました。\n";
93        }
94    } else {
95        // stream_socket_enable_crypto が失敗した場合、エラーメッセージを表示
96        $error = error_get_last();
97        echo "TLS暗号化の有効化に失敗しました: " . ($error['message'] ?? '不明なエラー') . "\n";
98    }
99
100    // クライアント接続を閉じる
101    fclose($conn);
102    echo "クライアントとの接続を閉じました。\n";
103}
104
105// サーバーソケットを閉じる (理論上、無限ループのため到達しませんが、コードの完全性のために記載)
106fclose($server);

STREAM_CRYPTO_METHOD_TLSv1_0_SERVERは、PHPのストリーム機能において、TLSv1.0プロトコルを用いたサーバー側の暗号化通信を有効にするための定数です。この定数自体には引数や戻り値はなく、特定の暗号化方式を指定する値として利用されます。

サンプルコードは、この定数を使ってクライアントからの接続に対してTLSv1.0による暗号化をサーバー側で確立するPHPサーバーの構築例を示しています。まず、自己署名証明書と秘密鍵を準備し、これらをSSL/TLSコンテキストオプションとして設定します。次に、ポート8000でTCPサーバーソケットを待ち受け、クライアントからの接続を受け入れます。

接続が確立された後、stream_socket_enable_crypto関数にSTREAM_CRYPTO_METHOD_TLSv1_0_SERVER定数を渡すことで、その接続ストリーム上でTLSv1.0による暗号化ハンドシェイクを行います。この関数が成功すると、以降の通信は暗号化され、安全にデータの送受信が可能となります。

しかし、TLSv1.0は現代のセキュリティ基準では非推奨とされており、このサンプルはあくまで学習目的です。実際のシステム運用では、より新しいTLSバージョン（例: TLSv1.2やTLSv1.3）を指定する定数を使用することが強く推奨されます。この定数は、過去のプロトコルバージョンへの対応方法を理解する上で役立ちます。