openssl

c=h=w

于 2023-09-01 18:01:02 发布

阅读量483

点赞数 2

文章标签： ssl 网络 linux

本文链接：https://blog.csdn.net/m0_71074313/article/details/132627813

版权

一、基于Openssl实现C/S通信及流程

OpenSSL同时实现了客户端与服务器的开发接口，使用OpenSSL进行安全通信的大致流程如下图所示。

（1）服务端

//server.c 
 
#include <stdio.h>
#include <stdlib.h>
#include <errno.h>
#include <string.h>
#include <sys/types.h>
#include <netinet/in.h>
#include <sys/socket.h>
#include <sys/wait.h>
#include <unistd.h>
#include <arpa/inet.h>
#include <openssl/ssl.h>
#include <openssl/err.h>
 
#define MAXBUF 1024
 
int main(int argc, char **argv)
{
    int sockfd, new_fd;
    socklen_t len;
    struct sockaddr_in my_addr, their_addr;
    unsigned int myport, lisnum;
    char buf[MAXBUF + 1];
    SSL_CTX *ctx;
 
    if (argv[1])
        myport = atoi(argv[1]);
    else
        myport = 7788;
 
    if (argv[2])
        lisnum = atoi(argv[2]);
    else
        lisnum = 2;
 
    /* SSL 库初始化 */
    SSL_library_init();
    /* 载入所有 SSL 算法 */
    OpenSSL_add_all_algorithms();
    /* 载入所有 SSL 错误消息 */
    SSL_load_error_strings();
    /* 以 SSL V2 和 V3 标准兼容方式产生一个 SSL_CTX ，即 SSL Content Text */
    ctx = SSL_CTX_new(SSLv23_server_method());
    /* 也可以用 SSLv2_server_method() 或 SSLv3_server_method() 单独表示 V2 或 V3标准 */
    if (ctx == NULL) {
        ERR_print_errors_fp(stdout);
        exit(1);
    }
    /* 载入用户的数字证书， 此证书用来发送给客户端。 证书里包含有公钥 */
    if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
        ERR_print_errors_fp(stdout);
        exit(1);
    }
    /* 载入用户私钥 */
    if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
        ERR_print_errors_fp(stdout);
        exit(1);
    }
    /* 检查用户私钥是否正确 */
    if (!SSL_CTX_check_private_key(ctx)) {
        ERR_print_errors_fp(stdout);
        exit(1);
    }
 
    /* 开启一个 socket 监听 */
    if ((sockfd = socket(PF_INET, SOCK_STREAM, 0)) == -1) {
        perror("socket");
        exit(1);
    } else
        printf("socket created\n");
 
    bzero(&my_addr, sizeof(my_addr));
    my_addr.sin_family = PF_INET;
    my_addr.sin_port = htons(myport);
    my_addr.sin_addr.s_addr = INADDR_ANY;
 
    if (bind(sockfd, (struct sockaddr *) &my_addr, sizeof(struct sockaddr))
        == -1) {
        perror("bind");
        exit(1);
    } else
        printf("binded\n");
 
    if (listen(sockfd, lisnum) == -1) {
        perror("listen");
        exit(1);
    } else
        printf("begin listen\n");
 
    while (1) {
        SSL *ssl;
        len = sizeof(struct sockaddr);
        /* 等待客户端连上来 */
        if ((new_fd =
             accept(sockfd, (struct sockaddr *) &their_addr,
                    &len)) == -1) {
            perror("accept");
            exit(errno);
        } else
            printf("server: got connection from %s, port %d, socket %d\n",
                   inet_ntoa(their_addr.sin_addr),
                   ntohs(their_addr.sin_port), new_fd);
 
        /* 基于 ctx 产生一个新的 SSL */
        ssl = SSL_new(ctx);
        /* 将连接用户的 socket 加入到 SSL */
        SSL_set_fd(ssl, new_fd);
        /* 建立 SSL 连接 */
        if (SSL_accept(ssl) == -1) {
            perror("accept");
            close(new_fd);
            break;
        }
 
        /* 开始处理每个新连接上的数据收发 */
        bzero(buf, MAXBUF + 1);
        strcpy(buf, "server->client");
        /* 发消息给客户端 */
        len = SSL_write(ssl, buf, strlen(buf));
 
        if (len <= 0) {
            printf
                ("消息'%s'发送失败！错误代码是%d，错误信息是'%s'\n",
                 buf, errno, strerror(errno));
            goto finish;
        } else
            printf("消息'%s'发送成功，共发送了%d个字节！\n",
                   buf, len);
 
        bzero(buf, MAXBUF + 1);
        /* 接收客户端的消息 */
        len = SSL_read(ssl, buf, MAXBUF);
        if (len > 0)
            printf("接收消息成功:'%s'，共%d个字节的数据\n",
                   buf, len);
        else
            printf
                ("消息接收失败！错误代码是%d，错误信息是'%s'\n",
                 errno, strerror(errno));
        /* 处理每个新连接上的数据收发结束 */
      finish:
        /* 关闭 SSL 连接 */
        SSL_shutdown(ssl);
        /* 释放 SSL */
        SSL_free(ssl);
        /* 关闭 socket */
        close(new_fd);
    }
    /* 关闭监听的 socket */
    close(sockfd);
    /* 释放 CTX */
    SSL_CTX_free(ctx);
    return 0;
}

（2）客户端

//client.c
 
#include <stdio.h>
#include <string.h>
#include <errno.h>
#include <sys/socket.h>
#include <resolv.h>
#include <stdlib.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <openssl/ssl.h>
#include <openssl/err.h>
 
#define MAXBUF 1024
 
void ShowCerts(SSL * ssl)
{
    X509 *cert;
    char *line;
 
    cert = SSL_get_peer_certificate(ssl);
    if (cert != NULL) {
        printf("数字证书信息:\n");
        line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
        printf("证书: %s\n", line);
        free(line);
        line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
        printf("颁发者: %s\n", line);
        free(line);
       X509_free(cert);
    } else
        printf("无证书信息！\n");
}
 
int main(int argc, char **argv)
{
    int sockfd, len;
    struct sockaddr_in dest;
    char buffer[MAXBUF + 1];
    SSL_CTX *ctx;
    SSL *ssl;
 
    if (argc != 3) {
        printf("参数格式错误！正确用法如下：\n\t\t%s IP地址 端口\n\t比如:\t%s 127.0.0.1 80\n此程序用来从某个"
             "IP 地址的服务器某个端口接收最多 MAXBUF 个字节的消息",
             argv[0], argv[0]);
        exit(0);
    }
 
    /* SSL 库初始化 */
    SSL_library_init();
    OpenSSL_add_all_algorithms();
    SSL_load_error_strings();
    ctx = SSL_CTX_new(SSLv23_client_method());
    if (ctx == NULL) {
        ERR_print_errors_fp(stdout);
        exit(1);
    }
 
    /* 创建一个 socket 用于 tcp 通信 */
    if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) {
        perror("Socket");
        exit(errno);
    }
    printf("socket created\n");
 
    /* 初始化服务器端（对方）的地址和端口信息 */
    bzero(&dest, sizeof(dest));
    dest.sin_family = AF_INET;
    dest.sin_port = htons(atoi(argv[2]));
    if (inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0) {
        perror(argv[1]);
        exit(errno);
    }
    printf("address created\n");
 
    /* 连接服务器 */
    if (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) {
        perror("Connect ");
        exit(errno);
    }
    printf("server connected\n");
 
    /* 基于 ctx 产生一个新的 SSL */
    ssl = SSL_new(ctx);
    SSL_set_fd(ssl, sockfd);
    /* 建立 SSL 连接 */
    if (SSL_connect(ssl) == -1)
        ERR_print_errors_fp(stderr);
    else {
        printf("Connected with %s encryption\n", SSL_get_cipher(ssl));
        ShowCerts(ssl);
    }
 
    /* 接收对方发过来的消息，最多接收 MAXBUF 个字节 */
    bzero(buffer, MAXBUF + 1);
    /* 接收服务器来的消息 */
    len = SSL_read(ssl, buffer, MAXBUF);
    if (len > 0)
        printf("接收消息成功:'%s'，共%d个字节的数据\n",
               buffer, len);
    else {
        printf
            ("消息接收失败！错误代码是%d，错误信息是'%s'\n",
             errno, strerror(errno));
        goto finish;
    }
    bzero(buffer, MAXBUF + 1);
    strcpy(buffer, "from client->server");
    /* 发消息给服务器 */
    len = SSL_write(ssl, buffer, strlen(buffer));
    if (len < 0)
        printf
            ("消息'%s'发送失败！错误代码是%d，错误信息是'%s'\n",
             buffer, errno, strerror(errno));
    else
        printf("消息'%s'发送成功，共发送了%d个字节！\n",
               buffer, len);
 
  finish:
    /* 关闭连接 */
    SSL_shutdown(ssl);
    SSL_free(ssl);
    close(sockfd);
    SSL_CTX_free(ctx);
    return 0;
}

（3）编译

gcc -o client client.c -Wall -g -lssl -lcrypto //客户端
gcc -o server server.c -Wall -g -lssl -lcrypto //服务端

说明：切记ssl和crypto库要加上，否则编译失败。

（4）程序运行

./server 7788 1  server.crt（证书） private-rsa.key（私钥）
./client 127.0.0.1 7788

二、openssl生成自签名证书

第一步：生成RSA私钥

openssl genrsa -des3 -out private-rsa.key 1024

-des3:生成的密钥使用des3方式进行加密。
-out private-rsa.key:将生成的私钥保存至private-rsa.key文件。
1024为要生成的私钥的长度。
root@cao-virtual-machine:~/test/openssl# openssl genrsa -des3 -out private-rsa.key 1024Generating RSA private key, 1024 bit long modulus (2 primes)
...+++++
....................................+++++
e is 65537 (0x010001)
Enter pass phrase for private-rsa.key:
Verifying - Enter pass phrase for private-rsa.key:
140223522124224:error:28078065:UI routines:UI_set_result_ex:result too small:../crypto/ui/ui_lib.c:903:You must type in 4 to 1023 characters
Enter pass phrase for private-rsa.key:
Verifying - Enter pass phrase for private-rsa.key:
root@cao-virtual-machine:~/test/openssl# openssl rsa -text -in private-rsa.key
Enter pass phrase for private-rsa.key:
RSA Private-Key: (1024 bit, 2 primes)

查看私钥

openssl rsa -text -in private-rsa.key

cat private-rsa.key

第二步：创建证书签名请求CSR文件

openssl req -new -x509 -key private-rsa.key -days 3650 -out public-rsa.cer

-new :说明生成证书请求文件
-x509 :说明生成自签名证书
-key :指定已有的秘钥文件生成秘钥请求，只与生成证书请求选项-new配合。
-days：证书有效天数
-out :-out 指定生成的证书请求或者自签名证书名称
 
 
Country Name (2 letter code) []:CN                        
// 输入国家代码，中国填写 CN
State or Province Name (full name) []:HangZhou           
 // 输入省份，这里填写 HangZhou
Locality Name (eg, city) []:HangZhou                      
// 输入城市，我们这里也填写 HangZhou
Organization Name (eg, company) []:tbj                    
// 输入组织机构(或公司名，我这里随便写个tbj)
Organizational Unit Name (eg, section) []:tbj             
// 输入机构部门
Common Name (eg, fully qualified host name) []:*.abc.com  
// 输入域名，我这边是 (*.abc.com)  
Email Address []:tugenhua0707@qq.com                     
 // 你的邮箱地址
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:123456                            
// 你的证书密码，如果不想设置密码，可以直接回车
注：private-rsa.key处输入上一步保护私钥文件的密码

openssl req -text -in server.csr -noout

第三步：生成CA证书

openssl x509 -req -days 365 -in server.csr -signkey private-rsa.key -out server.crt
 
 
x509的含义: 指定格式
-in的含义: 指定请求文件
-signkey的含义: 自签名

第四步：生成客户端证书

openssl genrsa -out client.key 2048

openssl req -new -key client.key -out client.csr

openssl x509 -req -days 365 -in client.csr -signkey client.key -out client.crt

三、OpenSSL API

SSL通信模型采用标准的C/S结构，因此基于OpenSSL的程序可以被分为两个部分：Client和Server。上图1-1是建立SSL通信的流程简图，说明了基于OpenSSL的程序所要遵循的以下几个重要步骤：

(1)OpenSSL初始化

OpenSSL在使用之前，必须进行相应的初始化工作。完成初始化功能的函数原型为：

void SSL_load_error_strings(void); // 错误信息的初始化
int SSL_library_int(void);        
 // 初始化SSL算法库函数( 加载要用到的算法 )，调用SSL函数之前

必须调用此函数
在建立SSL连接之前，要为Client和Server分别指定本次连接采用的协议及其版本，目前能够使用的协议版本包括SSLv2、SSLv3、SSLv2/v3和TLSv1.0。SSL连接若要正常建立，则要求Client和Server必须使用相互兼容的协议。

(2)创建CTX

在OpenSSL中，CTX是指SSL会话环境。建立连接时使用不同的协议，其CTX也不一样。创建CTX的过程中会依次用到以下OpenSSL函数：

//客户端、服务端都需要调用的
SSL_CTX_new() //申请SSL会话环境
//若有验证对方证书的需求，则需调用

SSL_CTX_set_verify()            //指定证书验证方式
SSL_CTX_load_verify_location()  //为SSL会话环境加载本应用所信任的CA证书列表

//若有加载证书的需求，则需调用

SSL_CTX_use_certificate_file()       //为SSL会话加载本应用的证书
SSL_CTX_use_certificate_chain_file() //为SSL会话加载本应用的证书所属的证书链
SSL_CTX_use_PrivateKey_file()        //为SSL会话加载本应用的私钥
SSL_CTX_check_private_key()          //验证所加载的私钥和证书是否相匹配

(3)创建SSL套接字

在此之前要先创建普通的流套接字，完成TCP三次握手，建立普通的TCP连接。然后创建SSL套接字，并将之与流套接字绑定。这一过程中会使用以下几个函数：

SSL *SSl_new(SSL_CTX *ctx);  //创建一个SSL套接字
int SSL_set_fd(SSL *ssl,int fd);   //以读写模式绑定流套接字
int SSL_set_rfd(SSL *ssl,int fd);  //以只读模式绑定流套接字
int SSL_set_wfd(SSL *ssl,int fd);  //以只写模式绑定流套接字

(4)完成SSL握手

在这一步，我们需要在普通TCP连接的基础上，建立SSL连接。与普通流套接字建立连接的过程类似：Client使用函数SSL_connect()【类似于流套接字中用的connect()】发起握手，而Server使用函数SSL_ accept()【类似于流套接字中用的accept()】对握手进行响应，从而完成握手过程。两函数原型如下：

int SSL_connect(SSL *ssl);
int SSL_accept(SSL *ssl);
握手过程完成之后，Client通常会要求Server发送证书信息，以便对Server进行鉴别。其实现会用到以下两个函数:

X509 *SSL_get_peer_certificate(SSL *ssl);  //从SSL套接字中获取对方的证书信息
X509_NAME *X509_get_subject_name(X509 *a); //得到证书所用者的名字

(5)进行数据传输

经过前面的一系列过程后，就可以进行安全的数据传输了。在数据传输阶段，需要使用SSL_read( )和SSL_write( )来代替普通流套接字所使用的read( )和write( )函数，以此完成对SSL套接字的读写操作,两个新函数的原型分别如下：

int SSL_read(SSL *ssl,void *buf,int num); //从SSL套接字读取数据
int SSL_write(SSL *ssl,const void *buf,int num); //向SSL套接字写入数据
(6)会话结束

当Client和Server之间的通信过程完成后，就使用以下函数来释放前面过程中申请的SSL资源：

int SSL_shutdown(SSL *ssl); //关闭SSL套接字
void SSl_free(SSL *ssl); //释放SSL套接字
void SSL_CTX_free(SSL_CTX *ctx); //释放SSL会话环境

四、简介与概述

OpenSSL是一个开源的代码库，它所实现的所有SSL相关功能都可以在C、C++语言中直接使用。OpenSSL具有以下优点：

采用C语言开发，支持多种操作系统，可移植性好；
功能全面，支持大部分主流密码算法、相关标准协议和SSL协议；
开放源代码，应用者能很好地了解算法实现过程；
具备应用程序（即OpenSSL指令），既可以直接使用，也可以进行二次开发；
免费使用，能够用于商业和非商业。
OpenSSL整个软件包主要分为三个部分：密码算法库、SSL协议库以及应用程序。其中，密码算法库是OpenSSL的核心，SSL协议库是在密码算法库的基础上对SSL协议的实现，应用程序是直接使用OpenSSL各种功能的接口，包括密码算法相关功能与SSL协议相关功能。这三个部分的关系如图2-1所示。

图2-1 OpenSSL套件各组成部分的关系

密码算法库

OpenSSL的密码算法库实现了大部分主流密码算法，包括对称密码算法（AES算法、DES算法、Blowfish算法、CAST算法、IDEA算法、RC2算法、RC5算法与RC4算法）、非对称密码算法（DH算法、RSA算法、DSA算法与EC算法）和信息摘要算法（MD2算法、MD5算法、MDC2算法、SHA算法、SHA1算法和RIPEMD算法），并提供了对数字证书和密钥的管理接口。

SSL协议库

OpenSSL的SSL协议库实现了SSL 2.0、SSL 3.0和TLS 1.0。该库提供了丰富的API函数，这些API函数将SSL协议的处理细节进行了完美的封装。当使用SSL协议库进行SSL应用程序开发时，不需要关心如何交换SSL握手消息，如何使用会话密钥加解密通信数据等细节问题，而只需考虑如何实现程序的实际功能。

应用程序

OpenSSL的应用程序是基于OpenSSL的密码算法库和SSL协议库写成的，它已经成为了OpenSSL重要的一个组成部分。通过调用OpenSSL的相应指令，可以使用密钥生成、证书管理、格式转换、数据加密和签名、SSL测试以及其它辅助配置功能。

原文链接：https://blog.csdn.net/howeverpf/article/details/18993945

原文链接：https://blog.csdn.net/qq_39521181/article/details/96454732
原文链接：https://blog.csdn.net/u010986753/article/details/123159103