linux加密解密基础、PKI及SSL、创建私有CA


1.加密解密基础：
 
         数据在网络中传输过程中要保证三个要点：

          （1）数据的完整性：防止数据在传输过程中遭到未授权用户的破坏或篡改。
          （2）数据的机密性：防止文件数据泄漏给未授权用户从而让其利用
          （3）数据的可用性：保证授权用户能按需访问存取文件数据

2.常见的加密技术：

  对称加密
  公钥加密
  单向加密
 
         （1）对称加密：加密解密使用同一个密钥，将原始数据分割成固定大小的块，逐个进行加密
             

             加密算法： 
                   DES：data encryption standard (数据加密标准)
                   3DES: DES增强版
                   AES：advance encryption standard（高级加密标准）
                    （128bits，192，458，384，512bits）
         (2)公钥加密：密钥是成对儿使用，用公钥加密，必须用与之配对的私钥解密，反之亦然。
                  公钥： 公开给所有人， pubkey
                  私钥， 自己留存，必须保证其私密性。secret key

              加密算法：
                   RSA : 由麻省理工Ron Rivest、Adi Shamir、Leonard Adleman三人提出的加密算法，以三个名字首字母命名
                   DSA ：Digital Signature Algorithm （数字签名算法）
         （3）单向加密: 只能加密不能解密，提取数据特征码
              加密算法：
                   md5:128bits
                   sha1:160bits
                   sha256
                   sha386
                   sha512

     PKI ：Public Key Infrastructrure （公钥基础设施）
               PKI是一种规范，它是使用公开密钥技术和数字证书来确保系统信息安全，并负责验证数字证书持有者身份的一种体系。

           组成：
            签证机构： CA
            注册机构： RA
           证书吊销列表：CRL
           证书存取库
      CA是PKI的一个机构，专门负责证书的签署和颁发。

 

    x.509:定义证书的结构及认证协议标准:
              组成：
                   版本号：v1,v2,v3
                   序列号: 唯一标识号
                   签名算法ID：标识符
                   发行者名称：
                   有效期限
                   主体名称
                   主体公钥
                   发行者唯一标识
                   主体的唯一标识
                   扩展信息
                   发行者签名
 

    SSL：Secure Socket layer（安全套接字层）
              1995年由网景公司设计，发布SSL2.0版本，后推出3.0版本，1999年推出TLS1.0,相当于SSL3.0升级版，现在常用TLS1.2版本

          分层设计：
               1、最低层：基础算法原语的实现，aes, rsa, md5
               2、向上一层：各种算法的实现
               3、再向上一层：组合算法实现的半成品
               4、用各种组件拼装而成的种种成品密码学协议/软件：tls, ssh


3.SSL/TLS的开源项目：Openssl
 
         (1)openssl的三个组件：
                   openssl: 多用途的命令行工具；在公司内部实现私有证书的颁发从而验证其身份信息
                   libcrypto: 公共加密库；提供了各种加密函数
                   libssl: 库，实现了ssl及tls；
  
      openssl命令：

                       enc, ca, dgst
   
       对称加密：
            工具：openssl enc, gpg
            算法：3des, aes, blowfish, twofish

        enc命令：
                 加密：~]# openssl enc -e -des3 -a -salt -in fstab -out fstab.ciphertext
                 解密：~]# openssl enc -d -des3 -a -salt -in fstab.ciphertext -out fstab

       单向加密：
            工具：md5sum, sha1sum, sha224sum, sha256sum,..., openssl dgst

        dgst命令：
                 openssl dgst -md5 /PATH/TO/SOMEFILE
  
    [root@localhost ~]# openssl dgst -md5 /tmp/fstab
    MD5(/tmp/fstab)= 32402066bd3db486a37ac6bd26b201fb#md5加密


4.建立私有CA:
              OpenCA
              openssl

     证书申请及签署步骤：
          1、生成申请请求；
          2、RA核验；
          3、CA签署；
          4、获取证书；

     创建私有CA：
              openssl的配置文件：/etc/pki/tls/openssl.cnf

  (1) 创建所需要的文件
   # touch index.txt
   # echo 01 > serial
   #
  (2) CA自签证书
   # (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)
   # openssl req -new -x509 -key /etc/pki/CA/private/cakey.epm -days 7300 -out /etc/pki/CA/cacert.pem
    -new: 生成新证书签署请求；
    -x509: 专用于CA生成自签证书；
    -key: 生成请求时用到的私钥文件；
    -days n：证书的有效期限；
    -out /PATH/TO/SOMECERTFILE: 证书的保存路径；

  (3) 发证
   (a) 用到证书的主机生成证书请求；
    # (umask 077; openssl genrsa -out /etc/httpd/ssl/httpd.key 2048)
    # openssl req -new -key /etc/httpd/ssl/httpd.key -days 365 -out /etc/httpd/ssl/httpd.csr
   (b) 把请求文件传输给CA；
   (c) CA签署证书，并将证书发还给请求者；
    # openssl ca -in /tmp/httpd.csr -out /etc/pki/CA/certs/httpd.crt -days 365

    查看证书中的信息：
     openssl x509 -in /PATH/FROM/CERT_FILE -noout -text|-subject|-serial

  (4) 吊销证书
   (a) 客户端获取要吊销的证书的serial
    # openssl x509 -in /PATH/FROM/CERT_FILE -noout -serial -subject

   (b) CA
    先根据客户提交的serial与subject信息，对比检验是否与index.txt文件中的信息一致；

    吊销证书：
     # openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem

   (c) 生成吊销证书的编号(第一次吊销一个证书)
    # echo 01 > /etc/pki/CA/crlnumber

   (d) 更新证书吊销列表
    # openssl ca -gencrl -out thisca.crl

    查看crl文件：
     # openssl crl -in /PATH/FROM/CRL_FILE.crl -noout -text