首先我们肯定会问什么是OpneSSL,以及OpenSSL有什么用？当让这不仅是刚接触Linux的我想知道，相信大多数人和我一样也非常想知道，因为OpenSSL是linux上基础的服务之一，了解它的应用可以帮助我们更好的了解linux。那么我们先了解下什么是OpenSSL已经它有什么用。

一、OpenSSL及其应用

        首先我们要了解SSL是什么？SSL是Secure Sockets Layer（安全套接层协议）的缩写，可以在Internet上提供秘密性传输。Netscape公司在推出第一个Web浏览器的同时，提出了SSL协议标准。其目标是保证两个应用间通信的保密性和可靠性,可在服务器端和用户端同时实现支持。已经成为Internet上保密通讯的工业标准。

OpenSSL 是一个强大的安全套接字层密码库，囊括主要的密码算法、常用的秘钥和证书封装管理功能及SSL协议，并提供丰富的应用程序供测试或其它目的使用。OpenSSL还可在局域网内构建私有CA，实现局域网内的 证书认证和授权，保证数据传输的安全性。如何构建私有CA呢？后面将详细讲述基于OpenSSL实现私有CA构建。

二、了解常用的加密方式

加密方式有对称加密 非对称加密 单向加密

     1、 对称加密：

加密和加密都用同一个对称密钥，但是，这种加密方法存在一定问题，就是密钥传输时，容易被盗窃。还有密钥管理困难，对称加密的方法：DES、AES、Blowfish、Twofish、IDEA、RC6、CAST5。

    2、  非对称加密：
公钥和私钥都可以进行加密，解密是公钥和私钥对应解密的，就好像一把锁对应多把相同的钥匙一样，公钥可以公开的，非对称加密解决了密钥传输时带来的问题，同时还解决了密钥管理的繁杂的问题。但是如果你用非对称加密的方式来加密一段数据，速度会非常慢，比对称加密的速度慢几个数量级。非对称加密的方法：RSA DSA

     3、单向加密：

单向加密是用来提取数据的特征码，为了保证数据传输时的完整性，哪怕数据发生一点的变化，特征码都会引起巨大的改变，单向加密的方法：MD5 SHA


三、数据的安全传输方式

        如上面已经提到了三种加密方式，和一些加密算法。那么在数据的传输过程中如何才能保证数据传输的安全性呢？
对于发送段和接收端，如下阐述

        1、发送端：

（1）、使用单向加密算法提取生成数据的特征码

（2）、使用自己的私钥加密特征码附加在数据后面

（3）、生成用于对称加密的临时密钥

（4）、用此临时密钥加密数据和已经使用私钥加密后的特征码

（5）、使用接收方的公钥加密此临时密钥，附加在对称加密后的数据后方

2、接收端：

（1）、使用自己的私钥解密加密的临时密钥；从而获得对称密钥

（2）、使用对称密钥解密对称加密的数据和私钥加密的特征码密文；从而获得数据和特征码密文

（3）、使用发送方的公钥解密特征码密文，从而获得从计算生成的特征码

（4）、使用与对方同样的单向加密算法计算数据的特征码，并与解密而来的进行比较

注：图片出自  http://www.178linux.com/2704

阐述中提到的公钥，用来加密；私钥用来解密。公钥与私钥的作用的作用是：用公钥加密的内容只能用私钥解密，用私钥加密的内容只能用公钥解密

四、与CA证书创建的一些内容


  如上所述，在数据的传输过程中存在很多不安全因素，因此对数据加密传输成了现在互联网上一个常用手段，那么如何多数据进行加密传输呢，我们这边就来介绍一种关于数据加密的协议，即CA证书。也许我们这边说的不是太准确，我个人的理解CA就是用于加密通信的一种实现方式。那么我们如何去创建一个CA呢，当然我这里所的创建是针对本机来说的，而对于互联网上的CA证书都是有权威机构颁发的。私人是没有权限颁发CA证书的。如果我们要创建私有CA的话，需要了解以下几个内容：

1、PKI：公钥基础设施（Public Key Infrastructure）

        包含以下组成部分：

签证机构：CA

        注册机构：RA

证书吊销列表：CRL

       证书存取库

2、X.509证书的格式：定义了证书的结构以及认证协议标准

版本号

序列号

签名算法ID

发行者名称

有效期限

主体名称

主体公钥

发行者惟一标识

主体的惟一标识

扩展

发行者签名

3、SSL：安全的套接字层（Secure Socket Layer）

        SSL的版本：

1995：SSL 2.0, Netscape

1996: SSL 3.0

1999: TLS 1.0 ：改名为TLS

2006: TLS 1.1 RFC 4346

2008：TLS 1.2 ：现在常用的是这个版本

2015: TLS 1.3 ：这个是现在比较新的版本，还没有普及

    SSL和TCP/IP协议一样也使用了分层设计的结构，下面介绍下它的分层结构

        （1）、最低层：基础算法原语的实现，aes, rsa, md5

        （2）、向上一层：各种算法的实现

        （3）、再向上一层：组合算法实现的半成品

        （4）、用各种组件拼装而成的种种成品密码学协议/软件，如：tls, ssh,

  4、OpenSSL：程序包是开源项目

        有三个组件组成：

openssl: 多用途的命令行工具；

libcrypto: 公共加密库；

libssl: 库，实现了ssl及tls；

        （1）openssl命令详解

        查看当前openssl的版本

 
  
 
  
[root@localhost ~]# openssl version
 
  
OpenSSL 1.0.1e-fips 11 Feb 2013
 
  
 
  
        （2）对称加密实现：加密和解密使用同一个秘钥，如：
 
  
 
  
 
  
[root@localhost tmp]# openssl enc -e -des3 -a -salt -in fstab -out fstab.ciphertext 
 
  
 
   
#对tmp下fstab这个文件进行des3加密方式加密输出为fstab.ciphertext
 
  
 
  
enter des-ede3-cbc encryption password:        #输入密码
 
  
Verifying - enter des-ede3-cbc encryption password:        #再次输入密码
 
  
[root@localhost tmp]# tail -3 fstab.ciphertext         #查看fstab.ciphertext文件，这里就会显示编码的形式
 
  
YudNqbvUskrHCcXg6BJqUOQXG0cfxUpz77jQpwKD5F/ASUtOs+zBkKvctWe+bOTs
 
  
Az1oGEeUn5gwHp4PBvSQbZJpY+BurIr+pcwXO1lt4M2odWmV7wG1RQDHanukOUAj
 
  
EJ2S4jyoOhHO1yzlpqKjypTsGQB3IMs+969n6w4iAio=
 
  
[root@localhost tmp]# rm -rf fstab        #删除原文件
 
  
[root@localhost tmp]# openssl enc -d -des3 -a -salt -in fstab.ciphertext -out fstab 
 
  
 
   
#把fstab.ciphertext解密输出为fstab文件
 
  
 
  
enter des-ede3-cbc decryption password:        #输入密码
 
  
[root@localhost tmp]# tail -3 fstab        #查看解密后的文件
 
  
devpts /dev/pts devpts gid=5,mode=620 0 0
 
  
sysfs /sys sysfs defaults 0 0
 
  
proc /proc proc defaults 0 0
 
  
[root@localhost tmp]# 
 
  
 
  
注：其中的加密算法可以根据自己的需要更改    
 
  
    （3）单项加密
 
  
dgst命令：
 
  
用法：openssl dgst -md5 /PATH/TO/SOMEFILE ，如
 
  
 
  
 
  
[root@localhost tmp]# openssl dgst -md5 fstab
 
  
MD5(fstab)= e83bea7d589639c435390c19b372e89e
 
  
 
  
      （4） 生成用户密码，passwd命令，如
 
  
 
  
 
  
[root@localhost tmp]# openssl passwd -1 -salt 12345 deanzhu 
 
  
$1$12345$I3fdyYvZmTklIOQyuo5HG1
 
  
 
  
      （5）生成随机数，
 
  
openssl rand -base64|-hex NUM
 
  
NUM: 表示字节数；-hex时，每个字符4位，出现的字符数为NUM*2; 如
 
  
 
  
 
  
[root@localhost tmp]# openssl rand -base64 16
 
  
ZHTO2YRBGxfKnXqeAcpVtg==
 
  
[root@localhost tmp]# openssl rand -base64 24
 
  
tZGXdlyo9zRCiLhnPv9YDdrFnd01SYX4
 
  
 
  
        （6）生成秘钥对
 
  
       用法：openssl genrsa -out /PATH/TO/PRIVATEKEY.FILE NUM_BITS
 
  
提取出公钥：
 
  
用法：openssl rsa -in /PATH/FROM/PRIVATEKEY.FILE -pubout
 
  
 
  
 
  
[root@localhost tmp]# openssl genrsa -out rsakey.privte 2048 #生成2048位的私钥
 
  
Generating RSA private key, 2048 bit long modulus
 
  
............+++
 
  
.......+++
 
  
e is 65537 (0x10001)
 
  
[root@localhost tmp]# cat rsakey.privte #查看私钥
 
  
-----BEGIN RSA PRIVATE KEY-----
 
  
MIIEpQIBAAKCAQEAzOE5ObkTYyZeYBJHbNm6qFADp+96Vg2VGHZTWtUO609j+36f
 
  
dTBHtIxG9HlRnADVJhDCgGKmBMta3zuHVe4gsVTuCHSFuNETxrV/Z1bZg9EH/vB8
 
  
bJ7ML9Jpw+8og0hzix8Vxgd52Bp2KXq02qq2TkJzHeJMoxQF6EAJPrtCsi6fJ6JN
 
  
9kDFnu8OKJHj9yBZgLt7lKe+zwcA+hV5Dt6Ca4z1h9ckrBdI4pF6gv6Jk2Yu3Y2W
 
  
JZRhXzmRPWIofO3CghDYVLrmqraWvsQb3SYm13IWnfYGAr14eV8W/ONS5BxuNoHA
 
  
ZdM+i0fAvf55loKvMPkjD2gkLTy3UY79BIh5BwIDAQABAoIBAAH8/Y0t2p5PtQLB
 
  
qqfHxSP1AtQSYuGK6DOAknaDMs3dy16Zb/q3KTr7UYT12HDnISppZznPu0S4pH0e
 
  
GsYetXqDFHxIhTOx87st77qVAS9iS+2Rb+Ot9tVP+W7JV19OyLBE8PUnBWuvdg4Y
 
  
/sBQf8xqoKtdktjSTOxgErblIlSQUs1nBWfnRf5rXEEvd97/30EUUhFMVF23HEA5
 
  
xjgdXnCQdGZjpVxN57OTMKQ/Rj+8StXJYsvunGfYMIoR99ziHyrJF8hgX/mwiHEw
 
  
XeUYXxLPUFWcSKDUwO1hYlTap5NB0DNW/zDtj6VF5MtHYUI0fIDuZNgA7/BKirrb
 
  
ydnbCIECgYEA+FuLnkxR0deT3w7t1e7ATflJREmTdhcOM0BeBMFi5aoVvjDqOqbD
 
  
91kWqy34jina+44weg2N4youXsCQtjxc3bTmVXg1lsUIWsSTU8XMhhAvRkit1Hr8
 
  
HPuEB6QTiuu4ZSNydAUyKaaOZp8OvOTB/cjArYJZHm1nXWcZ+6LNFtECgYEA0y8t
 
  
tO1IWiQx2yg+MhIjkMgFEzhnVmLZa8dkW2QwhW/MKVB3evJM4DyklZiuCLD5QpLl
 
  
uvWlwNdrpYCjliLJOcUC1f5ExJnNk9ZxjYpcx7/cHT5+CNR7aru3wSm5EUOBPCHf
 
  
lnh6NZBhk5xzi8EmpZDqdjItowqCBaD9kzxYOFcCgYEAoteLjSingTqjp17njR01
 
  
lCq+4nqHqKdnVS2AOAgA62uBRCpYekp8NYOBfI3w6m4BOm251V1ryiYPL2t9ty+P
 
  
CIOjfykJoijg2HsJyqTn/INCLAhdifN1uR8lK8lmUvFJ/26ljfMWN/8QYbMq+6nW
 
  
lKt7woi0HGJJoxGGFNtjM/ECgYEAzA2eAF/1tQOcGMJ9tivIqbBbFwM89j91DasP
 
  
0S6xo30urAzQJb/RgCmYbeOk5Uj6z9TYnRmWGwsLPFNbvUnHXUZ7QwH4uG5UMTDX
 
  
b4fttiQwLyGe7jFBPxQ6rS3/YCr1yICCZgXrL65eWh6llrf++6NWqPY7Gnqgv4ea
 
  
/JUmOOkCgYEAngIzNp8EBLdNFvnca59GMT4CmVF8Wk/hZGAPBCEeGHnpqBiSfytg
 
  
aTwdkwRy1FfCSbqju3tzMkdB57nwKaT0er8uHN9L/5hIgjcaQyHtNlYYKxqsh9gH
 
  
Nf1IKJLUIX4JtnDBfWQay4WJO0l9U+WLGlX3WFoZebnhAgJO3LBchfo=
 
  
-----END RSA PRIVATE KEY-----
 
  
[root@localhost tmp]# openssl rsa -in rsakey.privte -pubout #从私钥中提取公钥
 
  
writing RSA key
 
  
-----BEGIN PUBLIC KEY-----
 
  
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAzOE5ObkTYyZeYBJHbNm6
 
  
qFADp+96Vg2VGHZTWtUO609j+36fdTBHtIxG9HlRnADVJhDCgGKmBMta3zuHVe4g
 
  
sVTuCHSFuNETxrV/Z1bZg9EH/vB8bJ7ML9Jpw+8og0hzix8Vxgd52Bp2KXq02qq2
 
  
TkJzHeJMoxQF6EAJPrtCsi6fJ6JN9kDFnu8OKJHj9yBZgLt7lKe+zwcA+hV5Dt6C
 
  
a4z1h9ckrBdI4pF6gv6Jk2Yu3Y2WJZRhXzmRPWIofO3CghDYVLrmqraWvsQb3SYm
 
  
13IWnfYGAr14eV8W/ONS5BxuNoHAZdM+i0fAvf55loKvMPkjD2gkLTy3UY79BIh5
 
  
BwIDAQAB
 
  
-----END PUBLIC KEY-----
 
  
 
  
 
  
 
  
五、私有CA的搭建 
 
  
如果要创建CA我们就必须先了解下和CA相关的工作流程，如下图 
 
  
 
 
  
 
 
  
 
 
  
 
 
  
注：图片出自 http://www.178linux.com/2704
 
  
        1、服务器端建立CA
 
  
 
  
 
  
[root@localhost CA]# (umask 077;openssl genrsa -out /etc/pki/CA/private/ca 2048 -des3) #生成秘钥
 
  
Generating RSA private key, 2048 bit long modulus
 
  
....................................+++
 
  
...............................................+++
 
  
e is 65537 (0x10001)
 
  
[root@localhost CA]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 365 
 
  
 
   
#自签证书
 
  
 
  
You are about to be asked to enter information that will be incorporated
 
  
into your certificate request.
 
  
What you are about to enter is what is called a Distinguished Name or a DN.
 
  
There are quite a few fields but you can leave some blank
 
  
For some fields there will be a default value,
 
  
If you enter '.', the field will be left blank.
 
  
-----                                
 
  
Country Name (2 letter code) [XX]:beijing
 
  
string is too long, it needs to be less than 2 bytes long
 
  
Country Name (2 letter code) [XX]:CN
 
  
State or Province Name (full name) []:beijing
 
  
Locality Name (eg, city) [Default City]:beijing
 
  
Organization Name (eg, company) [Default Company Ltd]:mageedu
 
  
Organizational Unit Name (eg, section) []:www.mageedu
 
  
Common Name (eg, your name or your server's hostname) []:www.mageedu.com
 
  
Email Address []:admin@mageedu.com
 
  
[root@localhost CA]# ls
 
  
cacert.pem certs crl newcerts private
 
  
[root@localhost CA]# touch index.txt #初始化工作环境
 
  
[root@localhost CA]# echo 01 > serial
 
  
 
  
        2、客户端申请证书
 
  
 
  
 
  
[root@localhost CA]# (umask 077; openssl genrsa -out /etc/rsa/my.key 2048 -des3)
 
  
#客户端生成秘钥对
 
  
Generating RSA private key, 2048 bit long modulus
 
  
.......................+++
 
  
......................................+++
 
  
e is 65537 (0x10001) 
 
  
[root@localhost CA]# openssl req -new -key /etc/rsa/my.key -out /etc/rsa/my.csr
 
  
#生成证书请求
 
  
You are about to be asked to enter information that will be incorporated
 
  
into your certificate request.
 
  
What you are about to enter is what is called a Distinguished Name or a DN.
 
  
There are quite a few fields but you can leave some blank
 
  
For some fields there will be a default value,
 
  
If you enter '.', the field will be left blank.
 
  
-----
 
  
Country Name (2 letter code) [XX]:CN
 
  
State or Province Name (full name) []:beijing
 
  
Locality Name (eg, city) [Default City]:beijing 
 
  
Organization Name (eg, company) [Default Company Ltd]:mageedu
 
  
Organizational Unit Name (eg, section) []:www.mageedu
 
  
Common Name (eg, your name or your server's hostname) []:www.mageedu.com
 
  
Email Address []:admin@mageedu.com
 
  
 
 
  
Please enter the following 'extra' attributes
 
  
to be sent with your certificate request
 
  
A challenge password []:
 
  
An optional company name []:
 
  
 
  
        3、把签署请求文件发送给CA服务器
 
  
        可以使用命令 scp
 
  
        用法：PULL：scp [options] [user@]host:/PATH/FROM/SOMEFILE /PATH/TO/SOMEWHERE
 
  
  PUSH: scp [options] /PATH/FROM/SOMEFILE [user@]host:/PATH/TO/SOMEWHERE
 
  
        4、服务器签署证书
 
  
 
  
 
  
[root@localhost CA]# openssl ca -in /etc/pki/CA/my.csr -out /etc/pki/CA/my.crt -days 365 
 
  
 
   
#签署证书，有效期为365天
 
  
 
  
Using configuration from /etc/pki/tls/openssl.cnf
 
  
Check that the request matches the signature
 
  
Signature ok
 
  
Certificate Details:
 
  
 Serial Number: 1 (0x1)
 
  
 Validity
 
  
 Not Before: Sep 6 10:57:27 2015 GMT
 
  
 Not After : Sep 5 10:57:27 2016 GMT
 
  
 Subject:
 
  
 countryName = CN
 
  
 stateOrProvinceName = beijing
 
  
 organizationName = mageedu
 
  
 organizationalUnitName = www.mageedu
 
  
 commonName = www.mageedu.com
 
  
 emailAddress = admin@mageedu.com
 
  
 X509v3 extensions:
 
  
 X509v3 Basic Constraints: 
 
  
 CA:FALSE
 
  
 Netscape Comment: 
 
  
 OpenSSL Generated Certificate
 
  
 X509v3 Subject Key Identifier: 
 
  
 1F:60:5C:7F:76:1E:DC:0D:78:C6:EA:FC:DE:2D:A5:DC:74:69:2E:4B
 
  
 X509v3 Authority Key Identifier: 
 
  
 keyid:B3:61:4C:47:88:80:44:F2:C7:4C:D6:F2:9D:33:E2:3C:FC:4D:28:1E
 
  
 
 
  
Certificate is to be certified until Sep 5 10:57:27 2016 GMT (365 days)
 
  
Sign the certificate? [y/n]:y
 
  
 
 
  
 
 
  
1 out of 1 certificate requests certified, commit? [y/n]y
 
  
Write out database with 1 new entries
 
  
Data Base Updated
 
  
[root@localhost CA]# cat index.txt 
 
  
#查看index文件，存放证书subject信息，其中V表示可用证书
 
  
V 160905105727Z 01 unknown /C=CN/ST=beijing/O=mageedu/OU=www.mageedu/CN=www.mageedu.com/emailAddress=admin@mageedu.com
 
  
 
  
        5、发送给请求者
 
  
 
  
 
  
[root@localhost mysql]# scp /etc/pki/CA/my.crt 192.168.0.13:/tmp 
 
  
#将证书发送的客户端机器的tmp目录下
 
  
The authenticity of host '192.168.0.13 (192.168.0.13)' can't be established.
 
  
RSA key fingerprint is ef:3d:22:74:19:4f:5f:70:29:b9:a0:de:0b:db:41:ba.
 
  
Are you sure you want to continue connecting (yes/no)? yes
 
  
Warning: Permanently added '192.168.0.13' (RSA) to the list of known hosts.
 
  
Address 192.168.0.13 maps to localhost, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
 
  
root@192.168.0.13's password: 
 
  
my.crt 100% 4659 4.6KB/s 00:00 
 
  
 
 
  
 
  
6、吊销证书
 
  
 
  
 
  
[root@localhost CA]# openssl x509 -in my.crt -noout -serial -subject
 
  
#获取证书节点
 
  
serial=01
 
  
subject= /C=CN/ST=beijing/O=mageedu/OU=www.mageedu/CN=www.mageedu.com/emailAddress=admin@mageedu.com
 
  
[root@localhost CA]# cat index.txt 
 
  
#CA根据节点提交的serial和subject来验证index.txt文件中信息是否一致
 
  
V 160905105727Z 01 unknown /C=CN/ST=beijing/O=mageedu/OU=www.mageedu/CN=www.mageedu.com/emailAddress=admin@mageedu.com
 
  
[root@localhost CA]# openssl ca -revoke newcerts/01.pem #吊销证书
 
  
Using configuration from /etc/pki/tls/openssl.cnf
 
  
Revoking Certificate 01.
 
  
Data Base Updated
 
  
[root@localhost CA]# echo 00 > crlnumber #生成吊销证书的编号
 
  
[root@localhost CA]# openssl ca -gencrl -out thisca.crl #更新证书吊销列表
 
  
Using configuration from /etc/pki/tls/openssl.cnf
 
  
 
  
 
  
六、总结 
 
  
关于openssl其中有很多内容还没有讲到，以上的内容只是个人学习的总结，可能有些部分说的不正确，还请指出。谢谢！