最新ニュース エックスサーバーで標準化された「sodium」拡張について

そもそも「sodium（libsodium）」とは

sodium（libsodium）は、暗号技術を使って下記のような機能を提供します。

• 暗号化
  機密データ（APIキー、トークン、個人情報など）を第三者に読めない形で保存する
• 電子署名
  データの改ざん検知・なりすまし防止（Webhook検証など）
• ハッシュ、鍵、乱数
  パスワード保存に関わる処理や、暗号に必要な鍵生成・安全な乱数生成

以前は別の方式が使われていましたが、破られやすくなりました。その弱点を克服するため「sodium」が開発されました。下記のような特徴があります。

• 軍事レベルのセキュリティ
  現在、最も安全と言われる暗号化方式を手軽に扱えます。
• 速度面の優位性
  サイトの動作を重くしません。
• 世界標準
  最近のシステム開発では標準的に使用されています。

エックスサーバーでは、PHP 7.4から最新の8.4まで、すべてのバージョンでこの「sodium」が使えるようになりました。これまでのように自分で設定ファイル（php.ini）から操作する必要もありません。

ちなみに「libsodium」がこの機能の名称で、「sodium」がPHPで扱う場合の呼び名です。

自分のサイトに影響があるのかどうか？

利用する代表的なケースをまとめます。

特に重要：EC-CUBE 4系を使っている方

EC-CUBE 4系では、この「sodium」が動作の必須条件になっています。これまでは自分で設定を有効にする手間がありましたが、これからはインストールするだけで「sodium」が有効になります。

WordPressを使っている方

影響は基本的にはありません。ただ「2要素認証（ログイン時にスマホで承認する仕組み）」や「外部の決済機能（Stripeなど）」を利用する場合は、より安全に利用できる可能性があります。

開発に携わる方

「本番環境だけsodiumが入っていなくてエラーが出る」というようなトラブルはなくなります。PHP 7.4から8.4まで一貫してサポートされているため、環境の差異を気にせずセキュアなコードを書くことができます。

本当に動いているか確認する方法

自分のサーバーで有効になっているのかどうか、以下の方法で確認できます。

phpinfo()で確認

自身のサーバーに下記のように書いたファイルをアップロードし、ブラウザで表示してください。「sodium」という項目に「enabled」と表示されます。

SSHで確認

エックスサーバーにSSHで接続される方は、説明は不要だと思いますが、php -m | grep sodium などと入力して確認します。

もし過去に自分で php.ini にsodium関連の記述をしていた場合、そのままでも基本的には問題ないようです。

見えない部分の進化が安心につながります

「sodium」の標準化は、家の鍵が知らないうちに最新の電子錠に無償アップグレードされたようなものです。

普段意識することはありませんが、これによってあなたのサイトの信頼性は向上します。こうした目に見えにくい機能の底上げをしっかり行ってくれるのは、やはりサイト運営者として非常に安心できます。