【PHP8.x】openssl_spki_verify()関数の使い方

Copy
1<?php
2
3/**
4 * SPKI (Subject Public Key Info) の生成と検証の例。
5 *
6 * このスクリプトは、PHPのOpenSSL拡張機能を使用して、
7 * SPKIの生成、公開鍵の抽出、そしてopenssl_spki_verify関数によるSPKIの検証を行います。
8 * SPKIは、公開鍵とそのアルゴリズム情報を含むデータ構造で、
9 * 特定の公開鍵が意図したものであることを確認するために使用できます。
10 */
11function demonstrateSpkiVerification(): void
12{
13    // 1. 秘密鍵の生成
14    // SPKIの署名と、SPKI検証に必要な公開鍵の抽出のために、まず秘密鍵を作成します。
15    $privateKey = openssl_pkey_new([
16        "private_key_bits" => 2048, // 鍵のビット長を2048ビットに設定
17        "private_key_type" => OPENSSL_KEYTYPE_RSA, // RSAタイプの鍵を指定
18    ]);
19
20    if (!$privateKey) {
21        echo "エラー: 秘密鍵の生成に失敗しました。\n";
22        return;
23    }
24
25    // 2. 秘密鍵からSPKIを生成
26    // openssl_spki_newは、与えられた秘密鍵からSPKIを生成し、そのSPKI自体を秘密鍵で署名します。
27    // 第2引数はSPKIの署名に使用されるハッシュアルゴリズムです。
28    $spki = openssl_spki_new($privateKey, 'sha256');
29
30    if (!$spki) {
31        echo "エラー: SPKIの生成に失敗しました。\n";
32        openssl_pkey_free($privateKey); // リソースを解放
33        return;
34    }
35
36    echo "生成されたSPKI:\n" . $spki . "\n\n";
37
38    // 3. 秘密鍵から公開鍵を抽出
39    // SPKIの検証には、そのSPKIが表す公開鍵が必要です。
40    // openssl_pkey_get_detailsで鍵の詳細情報を取得し、そこから公開鍵文字列を取り出します。
41    $publicKeyDetails = openssl_pkey_get_details($privateKey);
42    $publicKey = $publicKeyDetails['key'] ?? null;
43
44    if (!$publicKey) {
45        echo "エラー: 公開鍵の抽出に失敗しました。\n";
46        openssl_pkey_free($privateKey); // リソースを解放
47        return;
48    }
49
50    echo "抽出された公開鍵:\n" . $publicKey . "\n\n";
51
52    // 4. openssl_spki_verify を使用してSPKIを検証
53    // この関数は、与えられたSPKIが指定された公開鍵と一致し、
54    // かつSPKIの内部署名がその公開鍵で検証できるかをチェックします。
55    echo "SPKIを検証中...\n";
56    $isValid = openssl_spki_verify($spki, $publicKey);
57
58    if ($isValid) {
59        echo "検証結果: SPKIは有効です。公開鍵と一致し、署名も正しく検証されました。\n";
60    } else {
61        echo "検証結果: SPKIは無効です。公開鍵と一致しないか、署名が不正です。\n";
62        // エラーが発生した場合、OpenSSLのエラーキューから詳細を取得できます。
63        while ($msg = openssl_error_string()) {
64            echo "OpenSSLエラー: " . $msg . "\n";
65        }
66    }
67
68    // 使用した秘密鍵リソースを解放します。
69    openssl_pkey_free($privateKey);
70}
71
72// SPKIの生成と検証のデモンストレーションを実行します。
73demonstrateSpkiVerification();

PHP 8で提供されるopenssl_spki_verify関数は、SPKI（Subject Public Key Info）が指定された公開鍵に属しているか、またSPKI内の署名がその公開鍵で正しく検証できるかを確認するための関数です。SPKIとは、公開鍵とそのアルゴリズム情報をまとめたデータ形式であり、これにより特定の公開鍵が確かに意図したものであることを証明できます。

この関数は二つの文字列型の引数を受け取ります。最初の引数$spkiには、検証したいSPKIの文字列を渡します。二番目の引数$publicKeyには、そのSPKIが関連付けられていると主張する公開鍵の文字列を指定します。関数は、渡されたSPKIに含まれる公開鍵情報が$publicKeyと一致し、かつSPKIに付与されたデジタル署名が$publicKeyを使って正しく検証できる場合にのみ、真偽値trueを返します。いずれかの検証に失敗した場合はfalseを返します。

本サンプルコードでは、まず秘密鍵からSPKIを生成し、そのSPKIから抽出した公開鍵を使ってopenssl_spki_verify関数で検証する一連の流れを具体的に示しています。この関数は、公開鍵の正当性をプログラム上で確認する際に利用され、システムのセキュリティを強化するために役立ちます。

Copy
1<?php
2
3/**
4 * openssl_spki_verify 関数の使用例を示します。
5 * この関数は、提供されたSPKI (Subject Public Key Info) の署名を、指定された公開鍵を使用して検証します。
6 * 主に公開鍵の信頼性を確認する目的で用いられるセキュリティ関連の機能です。
7 *
8 * キーワード「php openssl 脆弱性」に関して：
9 * openssl_spki_verify 関数自体が直接的な脆弱性を持つわけではありません。
10 * しかし、公開鍵の検証はシステムのセキュリティにおいて極めて重要であり、
11 * 不適切な使用や検証の欠如は、中間者攻撃（Man-in-the-Middle attacks）などの脆弱性につながる可能性があります。
12 * この関数を使用する際は、常に信頼できる公開鍵を使用し、検証結果を厳密に評価する必要があります。
13 * かつてWebサイトのセキュリティ強化に使われたHPKP (HTTP Public Key Pinning) はSPKIを利用していましたが、
14 * 運用上の複雑さや誤設定によるリスクから現在では非推奨となっています。
15 * したがって、この関数の利用が推奨される特定のユースケースを理解し、適用することが重要です。
16 */
17function verifySpkiExample(): void
18{
19    echo "--- openssl_spki_verify の使用例 ---\n\n";
20
21    // 1. RSAキーペアを生成します。
22    // 実際の運用では、秘密鍵は安全に保管され、公開鍵のみが共有されます。
23    $privateKeyResource = openssl_pkey_new([
24        'private_key_bits' => 2048,
25        'private_key_type' => OPENSSL_KEYTYPE_RSA,
26    ]);
27
28    if (!$privateKeyResource) {
29        echo "エラー: キーペアの生成に失敗しました。\n";
30        return;
31    }
32
33    // 公開鍵をPEM形式で抽出します。
34    $publicKeyDetails = openssl_pkey_get_details($privateKeyResource);
35    $publicKeyPem = $publicKeyDetails['key'] ?? null;
36
37    if (!$publicKeyPem) {
38        echo "エラー: 公開鍵の抽出に失敗しました。\n";
39        return;
40    }
41
42    echo "生成された公開鍵のプレビュー:\n";
43    echo substr($publicKeyPem, 0, 100) . "...\n\n";
44
45    // 2. 生成した秘密鍵とチャレンジ文字列を使用してSPKI (Subject Public Key Info) を生成します。
46    // openssl_spki_new は、指定された秘密鍵でSPKIに署名します。
47    $spki = openssl_spki_new($privateKeyResource, 'my-secure-challenge');
48
49    if (!$spki) {
50        echo "エラー: SPKIの生成に失敗しました。\n";
51        return;
52    }
53
54    echo "生成されたSPKI:\n";
55    echo $spki . "\n\n";
56
57    // 3. openssl_spki_verify を使用してSPKIの署名を検証します。
58    // この関数は、提供されたSPKIが指定された公開鍵によって正しく署名されているかを確認します。
59    echo "--- SPKI検証（成功例）の実行 ---\n";
60    $isValid = openssl_spki_verify($spki, $publicKeyPem);
61
62    if ($isValid) {
63        echo "結果: SPKIは指定された公開鍵によって正常に検証されました。\n";
64        echo "これは、SPKIの整合性と、それがこの公開鍵に対応する秘密鍵によって署名されたことを示します。\n\n";
65    } else {
66        echo "結果: SPKIの検証に失敗しました。\n";
67        echo "これは、SPKIが改ざんされているか、異なる公開鍵で署名されている可能性を示します。\n\n";
68    }
69
70    // 4. セキュリティの観点から、不正なSPKIが拒否されることを示す失敗例。
71    // 意図的にSPKIの一部を改ざんし、検証が失敗することを確認します。
72    echo "--- SPKI検証（失敗例：改ざんされたSPKI）の実行 ---\n";
73    $tamperedSpki = str_replace('A', 'Z', $spki); // 単純な改ざん例
74
75    echo "改ざんされたSPKIのプレビュー:\n";
76    echo substr($tamperedSpki, 0, 100) . "...\n\n";
77
78    $isTamperedValid = openssl_spki_verify($tamperedSpki, $publicKeyPem);
79
80    if ($isTamperedValid) {
81        echo "結果: 警告！改ざんされたSPKIが検証されてしまいました。これはセキュリティ上の問題を示します。\n\n";
82    } else {
83        echo "結果: 期待通り、改ざんされたSPKIは検証に失敗しました。\n";
84        echo "この失敗により、システムの公開鍵の信頼性が保護されます。\n\n";
85    }
86
87    // PHP 8ではOpenSSLリソースはオブジェクトとして扱われ、スコープを抜けると自動的に解放されます。
88    // 明示的な openssl_pkey_free($privateKeyResource); は通常不要です。
89}
90
91// 関数の実行
92verifySpkiExample();
93
94?>

openssl_spki_verify関数は、提供されたSPKI (Subject Public Key Info) の署名を、指定された公開鍵を用いて検証するPHPの関数です。主に公開鍵の信頼性を確認する目的で利用されるセキュリティ関連の機能です。

この関数は二つの引数を受け取ります。一つ目の$spkiには検証したいSPKIの文字列を、二つ目の$publicKeyにはSPKIの署名を検証するために使う公開鍵のPEM形式文字列を指定します。検証が成功し、SPKIが指定された公開鍵に対応する秘密鍵によって正しく署名されていればtrueを、そうでなければfalseをブール値で返します。

サンプルコードでは、まずRSAキーペアを生成し、その秘密鍵を使用してSPKIを生成しています。次に、生成されたSPKIと公開鍵をopenssl_spki_verify関数に渡し、SPKIが正しく署名されているかを確認しています。意図的に改ざんされたSPKIを検証する失敗例も示されており、この関数が不正な署名を正しく拒否する挙動を確認できます。

「php openssl 脆弱性」に関して、openssl_spki_verify関数自体が直接的な脆弱性を持つわけではありません。しかし、公開鍵の検証はシステムのセキュリティにおいて極めて重要であり、不適切な使用や検証の欠如は中間者攻撃などのセキュリティリスクにつながる可能性があります。かつてWebサイトのセキュリティ強化に使われたHPKPはSPKIを利用していましたが、運用上の複雑さや誤設定によるリスクから現在では非推奨となっています。この関数を使用する際は、常に信頼できる公開鍵を使用し、検証結果を厳密に評価することが重要です。