ca-bundle を EC-CUBE パッケージに同梱

[ttsuru]

• https://github.com/composer/ca-bundle を利用し状況によってca-bundleを利用
• 既存の admin_setting_system_authority_download は廃止

ComposerではMozilla CA bundle 問題の解決にCA bundleを同梱し、必要な場合に参照するようにしています。
https://github.com/composer/ca-bundle
https://github.com/composer/ca-bundle/blob/master/src/CaBundle.php#L94

上記にならい、EC-CUBEでもCA bundleを同梱することで、Windows環境でのトラブルを無くし、それ以外の環境でも適切な処理を行うように対応可能です。

現状では証明書をダウンロードしていますが、そのまま同梱することで極力問題を軽減できるかと思います。

refs #1624, #1521

[ttsuru]

本件、 composer/ca-bundle では証明書が利用できるかの検証も CVE-2013-6420 に影響のない環境のみで行うように配慮されており、実装も単純かつ独自実装を行うよりも安全になっています。

[ttsuru]

コンフリクト解消しました。

[ryo-endo]

@chihiro-adachi 内容と方針の確認をお願いします。

[chihiro-adachi]

@ttsuru
ありがとうございます。xamppでも動作しました。

1点要望なのですが、app/config/ec-cube/cacert.pemが設置されていれば、そちらを利用するようにはできないでしょうか。
composerが使えない環境も考えられるため、ca-bundleを更新する必要が出てきた際に、回避できる手段を残しておきたいと考えています。

[ttsuru]

@chihiro-adachi

composerが使えない環境も考えられるため、ca-bundleを更新する必要が出てきた際に、回避できる手段を残しておきたいと考えています。

リリース時にはComposerパッケージもEC-CUBEに同梱されるため、問題ないのではないでしょうか。
実態のファイルは vendor 以下に保存されています。

また、 app/config/ec-cube/cacert.pem を利用するには composer/ca-bundle を拡張する必要があるため、若干大変だと思います。

[chihiro-adachi]

@ttsuru

遅くなりましてすみません。
ca-bundleが更新する必要があるが、EC-CUBE本体がまだリリースされていない、ようなケースを想定していました。その際にcomposer以外で証明書を更新できる手段があればよいなと。

と思っていたのですが、ca-bundleのコードみてると、php.iniや環境変数でも定義できるようなので、回避できる手段はありそうですね。
ありがとうございます。

[nanasess]

php.iniや環境変数でも定義できるようなので

php.ini や環境変数の変更できないレンタルサーバーだと困ったりしませんか?

[ttsuru]

@chihiro-adachi
EC-CUBEのリリースタイミングのほうが、ca-bundleの失効よりも早いことは明確です。
composerでも同様のアプローチですので、このアプローチが適切かと思います。

[ryo-endo]

@ttsuru 万が一有効期限が切れてしまった場合は、その時点での最新EC-CUBEに同梱されているpemファイルを、FTPなりで送信して上書きすればOKという認識であっていますか？（Composerが使えないような環境の場合）

[ttsuru]

@ryo-endo
万が一切れてしまった場合には、 vendor以下にある、 composer/ca-bundle 以下を更新すれば良いかと思います。

また、証明書の細かいメンテも行われているようです。
composer/ca-bundle@ec21a59

[Yangsin]

@ttsuru 対応おそく申し訳ありませんが、こちら採用させていただきますので、コンフリクトの解消だけお願いできますでしょうか。

[ttsuru]

@Yangsin
了解しました。
いつ頃までにあると良いでしょうか。

[Yangsin]

@ttsuru
ソース凍結を12月中旬に予定しておりますので、そこまでにあれば大丈夫です。
私の気持ちは来週にでもredy-for-mergeにさせていただきたいです。

[ttsuru]

@Yangsin
修正しました。

[Yangsin]

ありがとうございます。マージ待機にさせていただきます。