学习笔记之加密解密，PKI，CA

1.加密解密

背景：在网络通信中为了达到安全需要，比如通信保密性，保证信息完整性和可用性，这就需要一些技术，下面就来介绍相关的技术

技术包括：加密和解密

       服务（用于抵御***的服务，也即是为了上述安全目标而特地设计的安全服务）

 

 加密和解密：

      传统加密方法：替代加密方法、置换加密方法

      现代加密方法：主要是现代块加密方法

注：真正的加密主要依赖密钥而不是加密算法

 服务：

    认证机制

    访问控制机制

 加密包括：

      对称加密

      公钥加密

      单向加密

      认证加密

2.对Linux系统：为了实现上述安全目标需要一些工具需要一些服务来实现上述功能，而linux的常用工具如下：

   linux常用于上述功能(就是的加密算法、协议或服务等)

   解决方案的工具主要有两个OpenSSL（ssl），GPG（pgp）

     OpenSSL（ssl）：是ssl协议和加密解密的实现

     GPG（pgp）：是gpg协议的实现

 

3. OpenSSL是什么？

   OpenSSL由三部分组成：

         libencrypt库(用于实现加密解密的库)

         libssl库(用于实现ssl安全通信机制的库)

         openssl多用途命令行工具(能实现加密解密等)

   

4.详解加密解密

加密算法和协议：(我们了解工作模式就行了)

  4.1对称加密：加密和解密使用同一个密钥

      常见的方式：

      DES：data encryption standard 使用16位加密

      3DES：Triple DES（即三倍的DES）

      AES:advanced encryption standart高级加密

          （128bits，192bits，256bits，384bits）

      blowfish

      twofish

      IDEA

      RC6

      CASTS

     加密算法特性： 

        1、加密解密使用同一个密钥 

        2、将原始数据分隔成为固定大小的块逐个进行加密

      缺陷：

        1、密钥过多()

        2、密钥发放困难

  4.2公钥加密:密钥分为公钥和私钥

    公钥：从私钥中提取产生；可公开给所有人；pubkey

    私钥：通过工具创建，使用者自己留存，必须保证其私密性：secret key

    特点：用公钥加密的数据，只能使用与之配对儿的私钥解密；反之亦然 

   

   公钥加密的算法:

     算法：RSA,DSA,ELGamal

         dsa不能用于加密解密，仅能用于签名

         rsa：既能加密解密又能用于签名

         DSS:Digital Signature Standard(数字签名标准)

         DSA:Digital Signature Algorthm

    公钥加密用途：

        数字签名：主要在于让接收方确认发送方的身份

        密钥交换：发送方用对方公钥加密一个对称密钥，并发送给对方

        数据加密

        主要是前两种

    双方通信的加密过程步骤：

      第一：发送方(A)先生成一份数据，为了保证数据安全无误保密的送达给接收方(B)，A要先用单向加密的算法计算出这段数据的特征码

      第二：A会用自己的私钥加密这段特征码，并将结果附加在数据后面，

      第三：A生成一个临时的对称密钥，并使用这对称密钥加密整段数据

      第四：A会获取B的公钥，并使用B的公钥去再加密上一步已经加密的整段数据，并发送给B，实现秘密通信

    双方的解密过程：

       第一：B用自己的私钥去解密发送过来的对称密钥

       第二：用对称密钥解密整段加密的内容

       第三：用A的公钥去解密这段特征码，能解密则判断是A发送过来的，A的身份得到验证。

       第四：B再用同样的对称加密算法去计算这段数据的特征码，并与解密出来的进行比较，如果相同，数据完整性得到验证，同时保密性也得到验证。

    

    思考：这中间存在安全隐患就是，中途有个人在冒充，同时冒充AB，这时中间人就将AB的信息全部看了一遍。为了解决这个问题于是就有了第三方CA

 

   4.3 单向加密：即提取数据指纹(特征码)，只能加密，不能解密

    

     特性：定长输出，雪崩效应(初始结果的微小改变将导致结果的巨大变化)

     功能：实现数据的完整性校验

     算法：md5：Message Digest5,128bits消息摘要算法

         sha1， sha256，sha224，  sha384，  sha512

         sha1:secure hash algorthm 1,安全的hash算法

 

 

5. PKI：public key infrastructure

     公钥基础设施

  它是以CA为核心生成的另一个安全机构

  其组成：

      签证机构：CA

      注册机构：RA

      证书吊销列表：CRL

      证书存取库

  证书包含的内容：

     X509v3（数字证书结构标准ｖ３版）：定义了证书的结构以及认证协议标准

         版本号： 

         序列号： serial

         签名算法ID（用什么算法算的）

         发行者名称

         有效期限

         主体名称（拥有者的信息）

         主体公钥

         发行者的唯一标识

         主体的唯一标识

         扩展

         发行者的签名

部分截图：如下

 

 

6. CA：

  CA种类：公共信任的CA，私有CA；

    

  建立私有CA：(只在私有范围内使用时)

      工具：openssl：使用范围很小就可以用此来生成CA

          OpenCA

      

  6.1 构建私有CA:

      在确定配置为CA的服务上生成一个自签证书，并为CA提供所需要的目录及文件即可；    

    步骤：(要做到耳熟能详)

      (1) 生成私钥；

         ~]# (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)

      (2) 生成自签证书；

         ~]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3655

          以上命令内容说明：

            -new：生成新证书签署请求；

            -x509：生成自签格式证书，专用于创建私有CA时使用；

            -key：生成请求时用到的私有文件路径；

            -out：生成的请求文件路径；如果自签操作将直接生成签署过的证书；

            -days：证书的有效时长，单位是day；

          (3) 为CA提供所需的目录及文件；

            ~]# mkdir  -pv  /etc/pki/CA/{certs,crl,newcerts}##一般就已经存在

            ~]# touch  /etc/pki/CA/{serial,index.txt}

            ~]# echo  01 > /etc/pki/CA/serial  ##此为给一个序列号

             

注意：只有创建私建CA时，就是只有作为CA主机的时候才在/etc/pki/CA/目录下进行创建，即上面的例子。在用到证书目录下的服务器要在其对应目录下创建，比如下面的例子实现，以httpd服务器为例。其目录为/etc/httpd/ssl

      

  6.2 某服务器要用到证书进行安全通信的服务器，需要向CA请求签署证书：   

        步骤123在服务器172.18.26.22上执行

        步骤4在主机172.18.26.21上执行

    步骤：（以httpd为例）

       (1) 用到证书的主机A生成私钥；

          ~]# mkdir  /etc/httpd/ssl 

          ~]# cd  /etc/httpd/ssl

          ~]# (umask  077; openssl  genrsa -out  /etc/httpd/ssl/httpd.key  2048)

       (2) 生成证书签署请求

          ~]# openssl req -new -key /etc/httpd/ssl/httpd.key -out /etc/httpd/ssl/httpd.csr  -days  365

       (3) 将请求通过可靠方式发送给CA主机；

             比如远程复制：

               #scp httpd.csr root@172.18.26.21:/tmp/

       (4) 在CA主机上签署证书；

           先创建文件

           ~]# touch  /etc/pki/CA/{serial,index.txt}

           ~]# echo  01 > /etc/pki/CA/serial

           再签署

           ~]# openssl ca  -in  /tmp/httpd.csr  -out  /etc/pki/CA/certs/httpd.crt  -days  365

     注：在第二步的时候配置服务地址比如httpd注意是以www开头的。

    查看证书中的信息：

      ~]# openssl  x509  -in /etc/pki/CA/certs/httpd.crt  -noout  -serial  -subject

             -serial表示查看序列号

             -subject 查看

知识补充：1.scp 命令：把本机文件复制到远程主机上