PHP和SSL CA驗證 - 與操作系統無關

Question

這裏是打開一個SSL套接字準備發送HTTP請求一個簡單的PHP腳本：

 
$contextOptions = array(); 

$socketUrl = 'ssl://google.com:443'; 
$streamContext = stream_context_create($contextOptions); 
$socket = stream_socket_client($socketUrl, $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $streamContext); 

if (!$socket || $errno !== 0) { 
    var_dump($socket, $errstr); 
    exit; 
} 

var_dump($socket); 
exit('Socket created.'); 

這工作 - 我只是測試它 - 但沒有驗證針對受信任的CA商店。

我們可以修改腳本，以使用PHP的SSL Context options：

 
$contextOptions = array(
    'ssl' => array(
     'cafile' => 'C:\xampp\cacerts.pem', 
     'CN_match' => '*.google.com', // CN_match will only be checked if 'verify_peer' is set to TRUE. See https://bugs.php.net/bug.php?id=47030. 
     'verify_peer' => TRUE, 
    ) 
); 

$socketUrl = 'ssl://google.com:443'; 
$streamContext = stream_context_create($contextOptions); 
$socket = stream_socket_client($socketUrl, $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $streamContext); 

if (!$socket || $errno !== 0) { 
    var_dump($socket, $errstr); 
    exit; 
} 

var_dump($socket); 
exit('Socket created.'); 

只要「憑證檔案錯誤」存在並具有正確的CA那麼這個例子也適用...

...但我們如何在不對CA文件名/文件路徑進行硬編碼的情況下做到這一點？我們試圖創建一些獨立於操作系統的SSL證書驗證，而不需要爲運行此腳本的每臺服務器單獨配置。

我知道Linux有一個CA的目錄，我們可以把它作爲'capath'。 Windows怎麼樣？它在哪裏存儲其可信CA？我搜索了，這些不幸似乎在註冊表中，那麼我們沒有辦法從PHP訪問它們嗎？其他操作系統呢？

Answer 1

敗局...

沒有辦法進行PHP中的安全加密傳輸，而無需手動設置之前，PHP 5.6 "cafile"和"CN_match"上下文選項。不幸的是，即使你做正確設置這些值，您的傳輸仍然很有可能失敗，因爲在驗證主機名時，5.6之前的版本不會查閱對等證書中日益流行的SAN（subjectAltName）擴展。因此，通過PHP的內置流封裝進行「安全」加密在很大程度上是一種誤用。與老版本的PHP相比，你最安全的選擇就是curl擴展。

關於窗戶證書...

Windows使用它自己的證書存儲，並從不同的OpenSSL編碼格式的證書。相比之下，openssl應用程序使用開放的.PEM格式。 5.6之前版本的PHP無法以任何方式與Windows證書商店進行交互。出於這個原因，使用內置流封裝功能以跨OS的方式進行可靠和安全的加密是不可能的。

PHP 5.6是openssl.cafile向前

• 了一大步新和openssl.capath php.ini配置讓您全局分配證書的位置，而不必設置他們在每流上下文

• 默認情況下，所有加密的流都會驗證對等證書和主機名，如果沒有提供"CN_match"上下文選項，則會自動從URI中分析主機名。現在

• 如果流上下文或 PHP沒有指定CA文件/路徑驗證主機名時

• 流加密操作檢查對證書SAN項。INI指令PHP自動退回到操作系統的證書存儲（在Windows，也！）

舉例來說，這是所有你需要做的，安全的連接到github.com在PHP- 5.6：

<?php 
$socket = stream_socket_client("tls://github.com:443"); 

是的。這就是它。不用擔心上下文設置和驗證參數。 PHP現在在這方面的功能與您的瀏覽器相同。

更多閱讀關於這一主題

這些PHP 5.6變化是僅針對SSL/TLS改進冰山的一角。迄今爲止，我們一直在努力使5.6最安全的PHP版本與加密通信有關。

如果您想了解更多關於這些新功能也通過官方渠道

• [RFC] Improved TLS Defaults
• [RFC] TLS Peer Verification
• 5.6 NEWS file
• 5.6 UPGRADING file

提供了豐富的信息

5.4/5.5

在SAN匹配的說明我們是合作，反向移植至少SAN匹配到5.4和5.5的分支，因爲它是極難使用的加密封裝以任何有意義的方式（作爲客戶端）沒有這個功能。雖然這種後援工作很大程度上取決於我作爲志願者的空閒時間，但提高這個答案可能會更快地發生:)