openssl dhparam用于生成和管理dh文件。dh(Diffie-Hellman)是著名的密钥交换协议,或称为密钥协商协议,它可以保证通信双方安全地交换密钥。但注意,它不是加密算法,所以不提供加密功能,仅仅只是保护密钥交换的过程。
openssl dhparam
-in filename:从filename文件中读取密钥交换协议参数。
-out filename:输出密钥交换协议参数到filename文件。
-dsaparam:指定此选项将使用dsa交换协议替代dh交换协议。虽然生成速度更快,但更不安全。
-noout:禁止输出任何信息。
-text:以文本格式输出dh协议。
-rand:指定随机数种子文件。
numbits:指定生成的长度。
生成1024长度的交换协议文件,其消耗的时间2秒多点
但生成长度2048的交换协议文件用了4分多钟,可见长度增长会导致协议生成的时间急剧增长。
openssl命令实现的是各种算法和加密功能,它的cpu的使用率会非常高,再结合dhparam,可以使得openssl dhparam作为一个不错的cpu压力测试工具,并且可以长时间飙高cpu使用率。
DH密钥协商过程:
密钥交换协议(DH)的大概过程
(1).双方协商一个较大的质数并共享,这个质数是种子数。
(2).双方都协商好一个加密生成器(一般是AES)。
(3).双方各自提出另一个质数,这次双方提出的质数是互相保密的。这个质数被认为是私钥(不是非对称加密的私钥)。
(4).双方使用自己的私钥(即各自保密的质数)、加密生成器以及种子数(即共享的质数)派生出一个公钥(由上面的私钥派生而来,不是非对称加密的公钥)。
(5).双方交换派生出的公钥。
(6).接收方使用自己的私钥(各自保密的质数)、种子数(共享的质数)以及接收到的对方公钥计算出共享密钥(session key)。尽管双方的session key是使用对方的公钥以及自己的私钥计算的,但因为使用的算法,能保证双方计算出的session key相同。
(7).这个session key将用于加密后续通信。
在此可见,在计算session key过程中,双方使用的公钥、私钥是相反的。但因为DH算法的原因,它能保证双方生成的session key是一致的。而且因为双方在整个过程中是完全平等的,没有任何一方能掌控协商的命脉,再者session key没有在网络上进行传输,使得使用session key做对称加密的数据传输是安全的。