# 機能設計書 116-openssl

## 概要

本ドキュメントは、Nim標準ライブラリの`openssl`ラッパーモジュールの機能設計について記載する。このモジュールはOpenSSL暗号化ライブラリへのNimバインディングを提供する。

### 本機能の処理概要

opensslモジュールは、OpenSSL 1.1.0以上の暗号化ライブラリをNimから利用するためのラッパーを提供する。SSL/TLS通信、暗号化、ハッシュ計算、証明書操作などの機能をNimプログラムから直接利用できる。

**業務上の目的・背景**：セキュアなネットワーク通信を実現するために、SSL/TLSプロトコルのサポートが必要である。OpenSSLは業界標準の暗号化ライブラリであり、このラッパーを通じてNimプログラムにSSL/TLS機能を提供する。

**機能の利用シーン**：
- HTTPS通信（httpclientモジュール内部で使用）
- セキュアなソケット通信
- X.509証明書の検証と操作
- ハッシュ計算（MD5、SHA1、SHA256等）
- RSA/DSA暗号化

**主要な処理内容**：
1. SSL/TLSコンテキストの作成と設定
2. SSL接続の確立とハンドシェイク
3. 暗号化された読み書き
4. 証明書の検証
5. ハッシュ・HMAC計算
6. RSA暗号化/復号化

**関連システム・外部連携**：
- OpenSSL動的ライブラリ（libssl、libcrypto）
- netモジュール
- httpclientモジュール
- asyncnetモジュール

**権限による制御**：特になし

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| - | - | - | ライブラリ機能としてネットワークモジュールから使用 |

## 機能種別

暗号化 / ネットワーク

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| ctx | SslCtx | Yes | SSLコンテキスト | nil不可 |
| ssl | SslPtr | Yes | SSL接続ポインタ | nil不可 |
| fd | SocketHandle | Yes | ソケットハンドル | 有効なソケット |
| CAfile | cstring | No | CA証明書ファイルパス | - |
| certFile | cstring | No | クライアント証明書パス | - |
| keyFile | cstring | No | 秘密鍵ファイルパス | - |

### 入力データソース

ネットワークソケット、証明書ファイル

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| SslCtx | SslPtr | SSLコンテキストポインタ |
| SslPtr | ptr SslStruct | SSL接続ポインタ |
| cint | cint | 操作結果コード |
| PX509 | SslPtr | X.509証明書ポインタ |

### 出力先

メモリ上のSSLオブジェクト、暗号化されたネットワーク通信

## 処理フロー

### 処理シーケンス

```
1. SSL_library_init()でライブラリ初期化
   └─ OpenSSL 1.1.0+ではOPENSSL_init_ssl()を使用

2. SSL_CTX_new()でコンテキスト作成
   └─ SSLv23_method()またはTLS_method()を指定

3. 証明書・鍵の設定
   └─ SSL_CTX_use_certificate_file()
   └─ SSL_CTX_use_PrivateKey_file()
   └─ SSL_CTX_load_verify_locations()

4. SSL_new()でSSL接続オブジェクト作成

5. SSL_set_fd()でソケットをバインド

6. SSL_connect()またはSSL_accept()でハンドシェイク

7. SSL_read()/SSL_write()で暗号化通信

8. SSL_shutdown()で接続終了

9. SSL_free()、SSL_CTX_free()でリソース解放
```

### フローチャート

```mermaid
flowchart TD
    A[SSL_library_init] --> B[SSL_CTX_new]
    B --> C[証明書設定]
    C --> D[SSL_new]
    D --> E[SSL_set_fd]
    E --> F{クライアント?}
    F -->|Yes| G[SSL_connect]
    F -->|No| H[SSL_accept]
    G --> I[SSL_read/write]
    H --> I
    I --> J[SSL_shutdown]
    J --> K[SSL_free]
    K --> L[SSL_CTX_free]
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-116-01 | バージョン検出 | OpenSSLバージョンに応じてAPI切り替え | 常時 |
| BR-116-02 | 動的リンク | デフォルトで動的ライブラリをロード | 常時 |
| BR-116-03 | 静的リンク | --dynlibOverride:sslで静的リンク | オプション指定時 |
| BR-116-04 | SSL検証 | SSL_VERIFY_PEERで証明書検証を有効化 | セキュア通信時 |

### 計算ロジック

特になし（OpenSSLライブラリに委譲）

## データベース操作仕様

### 操作別データベース影響一覧

該当なし

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| SSL_ERROR_NONE | 正常 | 操作成功 | - |
| SSL_ERROR_SSL | SSLエラー | プロトコルエラー | ERR_get_error()で詳細取得 |
| SSL_ERROR_WANT_READ | 再試行 | ノンブロッキングI/O待機 | 後でリトライ |
| SSL_ERROR_WANT_WRITE | 再試行 | ノンブロッキングI/O待機 | 後でリトライ |
| SSL_ERROR_SYSCALL | システムエラー | I/Oエラー | errnoを確認 |
| SSL_ERROR_ZERO_RETURN | 切断 | 正常終了 | - |

### リトライ仕様

WANT_READ/WANT_WRITEの場合は適切なタイミングでリトライ

## トランザクション仕様

該当なし

## パフォーマンス要件

- SSLハンドシェイクはコストが高い（接続再利用を推奨）
- セッションキャッシュを活用

## セキュリティ考慮事項

- 証明書検証を必ず有効化
- 古いプロトコル（SSLv2, SSLv3, TLSv1.0）は無効化推奨
- 暗号スイートの適切な設定

## 備考

- OpenSSL 1.1.0以上をサポート
- `-d:openssl10`で1.0.x系もサポート（限定的）
- `-d:useOpenssl3`でOpenSSL 3対応

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: 型定義を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | openssl.nim | `lib/wrappers/openssl.nim` | 型定義（112-141行目） |
| 1-2 | openssl.nim | `lib/wrappers/openssl.nim` | 定数定義（152-277行目） |

**読解のコツ**: SslPtr, SslCtx, BIO等の型は全てSslPtr（ptr SslStruct）のエイリアス。型安全性よりもCとの互換性を優先。

#### Step 2: DLL名の決定ロジックを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | openssl.nim | `lib/wrappers/openssl.nim` | sslVersionとDLL名（47-105行目） |

**主要処理フロー**:
- **47-48行目**: sslVersion定義で強制指定可能
- **66-105行目**: プラットフォーム別のDLL名パターン

#### Step 3: 初期化とコンテキスト作成を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_library_init（404-414行目） |
| 3-2 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_CTX_new（486-487行目） |
| 3-3 | openssl.nim | `lib/wrappers/openssl.nim` | SSLv23_method/TLS_method（428-438行目） |

#### Step 4: 接続と通信を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 4-1 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_new/free（479-480行目） |
| 4-2 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_set_fd（509行目） |
| 4-3 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_connect/accept（514, 518行目） |
| 4-4 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_read/write（515-516行目） |
| 4-5 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_shutdown（511行目） |

#### Step 5: 証明書操作を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 5-1 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_CTX_load_verify_locations（488-489行目） |
| 5-2 | openssl.nim | `lib/wrappers/openssl.nim` | SSL_get_peer_certificate（843-854行目） |
| 5-3 | openssl.nim | `lib/wrappers/openssl.nim` | X509_check_host（866行目） |

### プログラム呼び出し階層図

```
アプリケーション
    │
    ├─ SSL_library_init()
    │      └─ OPENSSL_init_ssl() (1.1.0+)
    │
    ├─ SSL_CTX_new(TLS_method())
    │      └─ 動的ライブラリロード
    │
    ├─ 証明書設定
    │      ├─ SSL_CTX_use_certificate_file()
    │      ├─ SSL_CTX_use_PrivateKey_file()
    │      └─ SSL_CTX_load_verify_locations()
    │
    ├─ SSL_new(ctx)
    │      └─ SSL接続オブジェクト作成
    │
    ├─ SSL_set_fd(ssl, socketFd)
    │
    ├─ SSL_connect(ssl) / SSL_accept(ssl)
    │      └─ TLSハンドシェイク
    │
    ├─ SSL_read(ssl, buf, len) / SSL_write(ssl, buf, len)
    │      └─ 暗号化通信
    │
    └─ SSL_shutdown(ssl)
           └─ SSL_free(ssl)
                  └─ SSL_CTX_free(ctx)
```

### データフロー図

```
[入力]               [処理]                    [出力]

証明書ファイル ───▶ SSL_CTX設定 ───▶ SslCtx
    │
ソケットFD ────────▶ SSL_set_fd ────▶ SSL接続
    │
平文データ ────────▶ SSL_write ─────▶ 暗号化データ（ネットワーク）
    │
暗号化データ ──────▶ SSL_read ──────▶ 平文データ
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| openssl.nim | `lib/wrappers/openssl.nim` | ソース | OpenSSLラッパー |
| net.nim | `lib/pure/net.nim` | ソース | SSLソケット通信 |
| httpclient.nim | `lib/pure/httpclient.nim` | ソース | HTTPS通信 |
| asyncnet.nim | `lib/pure/asyncnet.nim` | ソース | 非同期SSL通信 |
| ssl_certs.nim | `lib/pure/ssl_certs.nim` | ソース | 証明書パス検出 |
