3

sslv3の脆弱性(POODLE)によりsslv3ではなく、TLSv1での通信でないと受け付けてくれないところが増えてきたと思います。
phpの内部処理でTLSv1を明示的に設定して利用する方法は調べると色々と出てきたのですが、環境設定などで設定する方法ってあるのでしょうか。
当方の環境は、

  • OS X Yosemite 10.10.3
  • PHP 5.6.6
  • cURL 7.38.0
  • SSL version OpenSSL/0.9.8zd

です。
もしバージョンが古いということであれば、バージョンアップの方法を、またそれ以外の方法で対応できるということでしたら、その旨ご教示頂けると助かります。

1 件の回答 1

4

curl の作者は POODLE のために特別なことをする必要はないということを述べています (curl is no POODLE)。

CURLOPT_SSLVERSION で TLS 通信に限定することができますが、curl_setopt のマニュアルによるとデフォルトに任せるのが最適と書かれています。

curl_setopt_array($ch, [
    CURLOPT_SSLVERSION => CURL_SSLVERSION_TLSv1   
]);

通信先のサーバーへの対応のために CURLOPT_SSL_CIPHER_LIST で指定できる暗号スイートの選択肢を増やしたいのであれば、OpenSSL のバージョンを上げる必要があります。最新の OpenSSL を導入するのであれば、homebrew の利用をおすすめします。
どのくらい違うのかは次のコマンドの実行結果を見比べるとよいでしょう。

/usr/bin/openssl ciphers -v
/usr/local/bin/openssl ciphers -v

homebrew であれば curl の HTTP2 ビルドオプションを有効にしたり、HTTP2 のリバースプロキシーサーバーとして使える nghttpx (nghttp2) や h2o をかんたんに導入できます。curl の HTTP2 対応についてはこちらの記事をご参照ください。

3
  • 早速のご回答ありがとうございます! homebrewからopensslをバージョンアップしたら色々と指定できるようになりました! ただ、、phpinfoで見たopensslバージョンは変わらないようで。。。 php側に反映させるためには再度phpをコンパイル(もしくはインストール)し直さないと当然ダメですよね? 2015年4月15日 6:03
  • はい、openssl や curl エクステンションの再コンパイルが必要になります。homebrew-php の php56 であれば、静的な組み込みになるので、PHP 本体を再コンパイルする必要があります。「brew link openssl --force」の実行を忘れていると古い OpenSSL でビルドされてしまいます。 2015年4月15日 6:54
  • 色々とありがとうございます! 構築してみます! 2015年4月15日 7:36

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。