php - CA ルート証明書バンドルの目的は?

Question

Ray Villalobos がPHP を使用して Twitter API 1.1 の変更を処理する方法を示しているのを見ていました。ビデオの中で、彼はこの証明書をサーバーに入れました。私の質問は、この証明書を使用する目的は何ですか?

Answer 1

彼は tmhOAuth ライブラリを使用しているためだと思います。

tmhOAuth Web サイトでは、「バージョン 0.60 ではライブラリのセキュリティが強化され、curl_ssl_verifypeer がデフォルトで true に設定されました。一部のホスティング プロバイダーは最新の証明書ルート ファイルを提供していないため、このリポジトリに含まれるようになりました。」

したがって、cURL は HTTPS ページに接続するため、SSL 証明書を使用する必要があります。

Answer 2

cacert.pem ファイルには、SSL/TLS サイトのすべての証明機関の最新 (昨年末時点) のルート証明書が含まれています。これらは、VeriSign、Thawte、GeoTrust などの企業で、商用 Web サイトの暗号化キーに署名する「サービス」を販売しています。銀行、Google、Facebook、およびサーバーと顧客の間の安全な接続を必要とするだけでなく、人々が使用するブラウザーによって認識される SSL キーも必要とする他のすべてのサイトなど.

このファイルは、Mozilla がブラウザ (Firefox、Seamonkey など) で使用するファイルです。ファイル内のルート証明書は、サービスの料金を支払った Web サイトの暗号化キーに署名するために使用されています。通常、署名を埋めている人々が実際に問題のドメインとウェブサイトを所有していることを確認するには、認証局の側である程度の努力が必要です。そのため、たとえば Firefox を使用しているインターネット ユーザーが安全な Web サイトにアクセスすると、ブラウザは接続の暗号化キーをチェックし、記録されているルート証明書の 1 つによって署名されていることをチェックします。キーが署名されている場合、ユーザーには南京錠と、サイトが安全であることを示す素敵でふわふわしたメッセージが表示されます。キーが署名されていない場合、ユーザーには膨大な警告メッセージが表示され、自己責任で続行する必要があります。

Mozilla ファイルを使用するための Ray Villalobos の意図は、現在 Mozilla のブラウザに存在するのと同じタイプのセキュリティ チェックを PHP コードに組み込むことです (また、Web に接続してプラグインと RSS フィードを取得するため、Thunderbird も同様です)。

ただし、これらのルート証明書のいずれかによって署名された SSL または TLS キーは、証明書によって安全であるとは保証されないことに注意してください。接続のセキュリティは、各サーバーで生成される暗号化キーに完全に依存します (そして、エンド ユーザーはソフトウェアを最新の状態に保ち、その他いくつかのことを行います)。認証署名が実際に証明しているのは、誰かが認証局の 1 つにいくらかのお金を支払い、いくつかのフォームに記入し、フォーム (の一部) に嘘をついていた場合に偽証する危険を冒したことだけです。