先介绍数据加密：为了让数据安全传输，使数据明文变成密文。从而让截获此数据的人不容易知道此数据的内容。

数据加密常见的有三种：

(1)对称加密：加密和解密使用同一个密钥。

常用加密方法   des :data encryption standard,

3des ,aes: advance data encryption standard(定长输出128bit),aes256 ,

(2)公钥加密：用公钥加密，用与之配对的私钥解密，也称作非对称加密。

(3)单向加密：严格的来说不是一种加密，只是为了验证数据的完整性。

 单向加密的常见算法：MD5： 定长输出 128bit，sha1，sha256，sha512

 linux有两个常用软件加密：

1，gpg: 一般用于rpm包中比较常见。

2，openssl主要用于：

(1)对称加密算法

(2)非对称加密算法

(3)单向加密算法

(4)CA(OPENCA)  

(5)实现证书格式的转换

CA第×××证机构，这里介绍的CA公司内部，属于私有的，只对公司内部生效。

实验流程：

服务器端：

(1) 先检查主机上有没有安装openssl这个软件： rpm -qa |grep openssl

(2)编辑/etc/pki/tls/openssl.cnf（这个文件是openssl.cnf的配置文件） ，找到dir 修改成/etc/pki/CA（表示证书存储在哪个位置）其余的可以不用修改

 (2)在/etc/pki/CA/下建立certs(发证的目录),crl（吊销证书的目录） ,newcerts（发新证的目录）,index.txt(证书的索引)

mkdir /etc/pki/CA/{certs,newcerts,crl}

touch /etc/pki/CA/index.txt

echo 01 > /etc/pki/CA/serial（当前所发证书的序列号，从01开始）

(3)服务端给自己自签证书

一，先给自己生成私钥，必须放在CA目录下的private下

(umask 077;openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)

使用（），只让umask 077在子shell生效，genrsa一种加密工具

二，给自己发证

cd /etc/pki/CA/

openssl req -x509 -new -key /etc/pki/CA/private/cakey.pem -out cacert.pem -days 180（x509加密协议，-days证书的有效期）

openssl x509 -noout -in cacert.pem -text查看生成的自签证书内容

客户端(证书申请方)

(1)为某服务生成密钥（在这里用vsftp举例）

 cd /etc/vsftpd/

mkdir ssl

cd ssl 

（umask 077;openssl genrsa 1024 > vsftpd.key ) 生成密钥,和上面的命令作用一样，都是生成密钥，两种方法都可以

openssl req  -new -key vsftpd.key (指定私钥名称） -out vsftpd.csr

(2)将此证书传递给CA服务器，这里用scp

scp vsftpd.csr root@192.168.0.160:/etc/pki/CA

(3)CA服务器签署证书

cd /etc/pki/CA

openssl ca -in(从哪读进来) vsftp.csr -out vsftpd.crt -days 180

scp vsftp.crt root@172.16.190.1:/etc/vsftpd/ssl(生成的证书返回给客户端)

此时vsftpd已经支持ssl协议，重启启动ftp服务就ok。