sgcWebSockets は、単一のプロパティ TLSOptions.IOHandler の背後で切り替えられる 5 種類の TLS トランスポートを提供します。最大限の移植性を求めるなら OpenSSL を、オペレーティングシステム自身の TLS スタックを使用しデプロイする OpenSSL ライブラリが不要なネイティブのプラットフォームバックエンド（Windows SChannel、Android、iOS/macOS）を選ぶこともできます。もう 1 つの選択肢が Native TLS エンジンです。Object Pascal で書かれた TLS 1.3 および TLS 1.2 スタックで、どのターゲットでも依存関係を持たず、既定で耐量子の X25519MLKEM768 鍵交換をネゴシエートします。Windows では、OpenSSL 自体を実行ファイルへ静的リンクすることもできるため、OpenSSL を使い続けながらデプロイするものを一切なくすことも可能です。バックエンドの切り替えは 1 行のコードだけで、ほかには何も変わりません。
どのバックエンドも同じ TLSOptions API に接続します。お使いのプラットフォームとデプロイに合うものを選び、TLSOptions.IOHandler を設定してください。
OpenSSL ライブラリによるクロスプラットフォーム TLS。Windows では静的リンクにより何もデプロイせずに済ませることもできます。既定かつ最も移植性の高いバックエンドで、最も広いプロトコルと暗号スイートをカバーします。すべてのエディションに同梱されています。
Windows ネイティブの TLS（Microsoft Secure Channel）。デプロイするライブラリがなく、Windows 証明書ストアを使用します。Windows 専用。Professional および Enterprise。
プラットフォームの SSLEngine によるネイティブ Android TLS。OpenSSL の .so を同梱する必要がありません。Android 専用。Enterprise エディション。
iOS/macOS ネイティブの TLS。OpenSSL の .dylib が不要。モダンなシステムでは Network.framework（TLS 1.3）を自動選択します。Enterprise エディション。
sgcCrypto の上に Object Pascal で書かれた TLS 1.3 および TLS 1.2 スタック。どのプラットフォームでもデプロイするものがなく、TLS 1.3 では既定で耐量子の X25519MLKEM768 鍵交換を使用します。Standard エディション以上、または単体の sgcCrypto パック。
各トランスポートのプラットフォーム、デプロイのフットプリント、TLS 1.3 対応、エディションを示します。
| バックエンド | プラットフォーム | デプロイするライブラリ | TLS 1.3 | エディション |
|---|---|---|---|---|
| OpenSSL | Windows、Linux、macOS、iOS、Android | libssl/libcrypto、または Windows では静的リンクでなし | 対応 | すべてのエディション |
| SChannel | Windows | なし（Windows に内蔵） | 対応（Windows 11/Server 2022 以降） | Professional、Enterprise |
| Android TLS | Android | なし（OS を使用） | 対応 | Enterprise |
| Apple TLS | iOS、macOS | なし（OS を使用） | 対応（10.14 以降／iOS 12 以降） | Enterprise |
| Native TLS | Windows、Linux、macOS、iOS、Android | なし（純粋な Object Pascal） | 対応（TLS 1.2 にも対応） | Standard、Professional、Enterprise、または sgcCrypto パック |
各トランスポートには専用のページがあり、完全なセットアップ手順、Delphi と C++ Builder のコード、デプロイに関する注意点、エディションの詳細を掲載しています。
Indy のソケット上で動作するクロスプラットフォーム TLS で、sgcWebSockets が対応するすべてのプラットフォームで利用でき、ほとんどのプラットフォームで既定です。TLS 1.0 から 1.3 まで完全対応し、最も広い暗号スイートをカバーし、カスタム CA、クライアント証明書、ALPN に対応します。OpenSSL ランタイムライブラリはアプリケーションとともにデプロイします。すべてのエディションに同梱されています。Windows では、代わりに実行ファイルへ静的リンクすることもでき、その場合デプロイするものは何もありません。
Windows に内蔵された Microsoft のネイティブ TLS スタック（Secure Channel / SSPI）です。デプロイするライブラリがゼロで、配布やパッチ適用が必要な OpenSSL DLL もなく、Windows 証明書ストアを使用します。Windows 専用。Professional および Enterprise エディションに同梱されています。
JNI を介してプラットフォームの SSLEngine を使用するネイティブ Android TLS です。APK に OpenSSL の .so を含めず、Android システムトラストストアに対する検証、TLS 1.3、そして Android 10（API 29）以降での ALPN に対応します。Enterprise エディション。
iOS と macOS 向けのネイティブ Apple TLS で、デプロイする OpenSSL の .dylib がありません。macOS 10.14 以降／iOS 12 以降では Network.framework（TLS 1.3）を自動選択し、それより古いシステムでは Secure Transport（TLS 1.2）にフォールバックします。システムトラスト、SNI、カスタム CA、クライアント証明書／mTLS、ALPN に対応します。Enterprise エディション。
sgcCrypto のユニットの上にすべて Object Pascal で書かれた TLS 1.3 および TLS 1.2 実装で、Windows、Linux、macOS、iOS、Android のいずれでもデプロイするものが一切ありません。クライアントでは TLSOptions.IOHandler := iohNativeTLS を、サーバーでは SSLOptions.IOHandler := iohNativeTLS を設定します。IOCP と EPOLL のサーバーエンジンにも対応します。TLSOptions.NativeTLS_Options.Groups と TLSOptions.NativeTLS_Options.CipherSuites は、OpenSSL 形式のコロン区切りリストを受け取ります。既定値はそれぞれ X25519MLKEM768:X25519:secp256r1:secp384r1 と TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256 に TLS 1.2 の既定値を加えたもので、対応しているピアとのハンドシェイクは設定なしで耐量子ハイブリッドになります。
TLS 1.3 と TLS 1.2。クライアントの TLSOptions.Version、サーバーの SSLOptions.Version は許可する最低バージョンを指定します。tls1_2 または tlsUndefined なら TLS 1.3 か TLS 1.2 のいずれかをネゴシエートし、tls1_3 なら TLS 1.3 のみを許可します。TLS 1.2 のみにするには、NativeTLS_Options.CipherSuites に TLS 1.2 の暗号スイートだけを列挙してください。TLS 1.2 は既定で ECDHE_ECDSA と ECDHE_RSA を AES-128-GCM、AES-256-GCM、ChaCha20-Poly1305 とともに提供し、ECDHE の AES-CBC スイートと RSA 鍵交換は名前を指定したときのみ利用できます。耐量子ハイブリッドのグループは TLS 1.3 にしか存在しないため、TLS 1.2 では X25519、secp256r1、secp384r1 を使用します。TLS 1.2 には RFC 7627 の拡張マスターシークレットと、双方向の RFC 8446 のダウングレード保護が備わっており、再ネゴシエーションと SHA-1 署名は拒否します。
対応していないこと。このエンジンが話すのは TLS 1.3 と TLS 1.2 のみで、TLS 1.1、TLS 1.0、SSL には対応しません。セッション再開も PSK もなく、0-RTT も QUIC もありません。信頼するルートは TLSOptions.RootCertFile から取得し、加えて NativeTLS_Options.UseSystemRoots を True にすると、オペレーティングシステムが信頼するルート（Windows の ROOT ストアまたは CA バンドルファイルから読み取り、macOS や iOS のキーチェーン、Android のストアからは読み取りません）も信頼します。また、コンポーネントのイベント OnSSLVerifyPeer はこのエンジンでは利用できません。エンジンが独自の検証フックを備えているためです。これらのいずれかが必要な場合は、OpenSSL またはプラットフォームのバックエンドを使い続けてください。
sgcCrypto の一部であるため、Standard エディション以上、および単体の sgcCrypto パックに同梱されています。
ネイティブのプラットフォーム TLS、すなわち Android（iohAndroidTLS）と Apple（iohAppleTLS）には Enterprise エディションが必要です。OpenSSL（iohOpenSSL）はすべてのエディションに同梱されています。SChannel（iohSChannel）は Professional および Enterprise エディションに同梱されています。Windows で OpenSSL を静的リンクする場合も、Enterprise または All-Access エディションが必要です。Native TLS（iohNativeTLS）は sgcCrypto の一部であるため、Standard エディション以上、および単体の sgcCrypto パックに同梱されています。
5 つのバックエンドはすべて同じ TLSOptions API を共有するため、相互の移行はプロパティを 1 つ変更するだけです。コードのほかの部分は何も変える必要がありません。
どのバックエンドでも同じ方法で TLS を有効にし、ピア証明書の検証を切り替えられます。
カスタム CA ルートを指定して、プライベートまたは自己署名の認証局を信頼します。
相互 TLS（mTLS）認証のために、クライアント証明書とそのパスワードを指定します。
TLS ハンドシェイク中にアプリケーションプロトコル（たとえば http/1.1）をアドバタイズします。
// Same TLSOptions, only the IOHandler line changes per platform.
WSClient.TLS := True;
WSClient.TLSOptions.IOHandler := iohOpenSSL; // or iohSChannel / iohAndroidTLS / iohAppleTLS / iohNativeTLS
WSClient.TLSOptions.VerifyCertificate := True;
WSClient.TLSOptions.RootCertFile := '';
WSClient.TLSOptions.CertFile := '';
WSClient.TLSOptions.Password := '';
WSClient.TLSOptions.ALPNProtocols.Add('http/1.1');
WSClient.Active := True;// Same TLSOptions, only the IOHandler line changes per platform.
WSClient->TLS = true;
WSClient->TLSOptions->IOHandler = iohOpenSSL; // or iohSChannel / iohAndroidTLS / iohAppleTLS / iohNativeTLS
WSClient->TLSOptions->VerifyCertificate = true;
WSClient->TLSOptions->RootCertFile = "";
WSClient->TLSOptions->CertFile = "";
WSClient->TLSOptions->Password = "";
WSClient->TLSOptions->ALPNProtocols->Add("http/1.1");
WSClient->Active = true;