浅浅学习一下OpenSSL

最新推荐文章于 2024-04-26 14:39:39 发布
最新推荐文章于 2024-04-26 14:39:39 发布
阅读量3.5k 收藏 22
点赞数 2
分类专栏： # 安全基础 文章标签： ssl 安全 OpenSSL
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45264425/article/details/128944147
版权

前言

最近一直不是在做安全相关的东西嘛，签名和加密都要用到秘钥，当时的秘钥都是师兄给我的。自己还没有生成过，于是这里来学习OpenSSL。

互联网的发展史上，安全性一直是开发者们相当重视的一个主题，为了实现数据传输安全，我们需要保证：数据来源（非伪造请求）、数据完整性（没有被人修改过）、数据私密性（密文，无法直接读取）等。虽然现在已经有SSL/TLS协议实现的HTTPS协议，但是因在客户端上依赖浏览器的正确实现，而且效率又很低，所以一般的敏感数据（如交易支付信息等）还是需要我们使用加密方法来手动加密。

1、OpenSSL是什么？

OpenSSL是一个开放源代码的SSL协议的产品实现，它采用C语言作为开发语言，具备了跨系统的性能，支持Linux、Unix、Windows、Mac和VMS等多种平台。（这玩意是一个软件产品）

OpenSSL最早的版本在1995年发布，1998年后开始由OpenSSL项目组维护和开发。当前最新的版本是0.9.7b版本，完全实现了对SSLv1、SSLv2、SSLv3和TLS的支持。目前，OpenSSL已经得到了广泛的应用，许多类型的软件中的安全部分都使用了OpenSSL的库，如VOIP的OpenH323协议、Apache服务器、Linux安全模块等等。

虽然OpenSSL使用SSL作为其名字的重要组成部分，但其实现的功能确远远超出了SSL协议本身。OpenSSL事实上包括了三部分:

  • SSL协议

  • 密码算法库

  • 应用程序库

  • 1、SSL协议部分完全实现和封装了SSL协议的三个版本和TLS协议，SSL协议库的实现是在密码算法库的基础上实现的。使用该库，你完全可以建立一个SSL服务器和SSL客户端。

  • 2、密码算法库是一个强大完整的密码算法库,它是OpenSSL的基础部分，也是很值得一般密码安全技术人员研究的部分,它实现了目前大部分主流的密码算法和标准。主要包括公开密钥算法、对称加密算法、散列函数算法、X509数字证书标准、PKCS12、PKCS7等标准。事实上，OpenSSL的SSL协议部分和应用程序部分都是基于这个库开发的。
    目前,这个库除了可以使用本身的缺省算法外，在0.9.6版本之后,还提供了Engine机制，用于将如加密卡这样外部的加密算法实现集成到OpenSSL中。

  • 3、应用程序部分是OpenSSL最生动的部分，也是OpenSSL使用入门部分。该部分基于上述的密码算法库和SSL协议库实现了很多实用和范例性的应用程序，覆盖了众多的密码学应用。主要包括了各种算法的加密程序和各种类型密钥的产生程序(如RSA、Md5、Enc等等)、证书签发和验证程序（如Ca、X509、Crl等）、SSL连接测试程序（如S_client和S_server等）以及其它的标准应用程序（如Pkcs12和Smime等）。在某些时候，不需要做二次开发，仅仅使用这些应用程序便能得到我们的应用要求，比如采用Ca程序就能基本上实现一个小型的CA功能。（这就是我需要的，生成秘钥）

那么在知道OpenSSL是什么玩意之后，你的目的是什么？ 是想集成它的算法库，还是实现SSL服务器，还是使用它的应用程序来实现你的目的。

那么无论是什么，下面我们来看看基于OpenSSL的应用。

2、基于OpenSSL的应用

基于OpenSSL指令的应用

基于OpenSSL指令的应用很容易，只要安装好了OpenSSL，就可以开始使用了。最简单的应用就是使用Req、CA以及X509指令来签发一个证书了，该证书可以用于各种目的,比如很多Apache服务器就是使用OpenSSL的指令生成的证书作为服务器证书。

基于OpenSSL加密库和协议库的应用

基于OpenSSL函数库的应用相比与基于OpenSSL指令的应用开发的工作量会大很多，但这并不意味着其应用会更少。事实上，基于OpenSSL的应用大部分是这种方式的，这种方式使得开发者能够根据自己的需求灵活地进行选择，而不必受OpenSSL有限的指令的限制。

到这里那必须整两个例子，这里我就不将基于库的应用进行展开讲了，整个CA证书和秘钥生成的例子。

3、OpenSSL的目录内容

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

4、两个例子：CA证书与秘钥生成

1-CA证书

CA的目录结构

在这里插入图片描述

  • certs目录：存放的是有效的用户证书，里面的文件格式是.cert格式，每一个用户对应一个证书。这些证书已经被CA签名了，是有效的。证书的具体格式在后面会有叙述和实例。

  • Crl目录：在这个目录中存放的是证书撤销列表，里面的文件格式是.crl格式。一个.crl文件记录了一段时期内被撤销的证书的序列号。所有这些撤销列表合起来记录了所有的被撤销的用户证书。证书撤销列表的具体格式见后面的分析。

  • newcerts：在这个目录中存放的是那些等待被CA签名的用户证书,这些证书还是没有被签名的，暂时无效。不过这些用户的申请信息已经告知了CA系统，系统管理员可以通过对这些信息的分析，决定是否对这个证书签名，使其生效。

  • private：这个目录中存放的是所有用户包括CA的私钥，里面的文件格式是.key格式的。每一个证书对应一个.key文件。这个目录起到一个简单的密钥归档作用。

1.1 创建CA的准备工作

  • 1、创建一个数据库（ index.txt文件）

    • 记录根CA创建证书或者撤销证书的事件;
    • 每次创建或者撤销证书事件发生时，它是自动更新的;

  • 2、创建一个序列号(serial）文件

    • 记录下次即将创建的用户证书的序列号;
    • 每次创建一个新证书时，将其中的序列号赋给证书;
    • 证书创建完成后，自动将序列号加1;
    • 根证书的序列号默认为00;

1.2 创建CA证书的基本步骤

  • 1、在原来创建的. rnd文件中输入一个数做为伪随机数发生器的种子;
  • 2、利用1中的种子和RSA算法为CA生成一个CA密钥对;
  • 3、申请创建CA证书，输入系统要求的必要的注册信息;系统会用2中生成的CA密钥对对这个证书进行自签名;
  • 4、安装生成的CA证书，即让本机信任这个CA证书;

1.3 生成CA密钥对

命令:

genrsa -out private\ca.key -rand privatel\.rnd 2048

在这里插入图片描述
生成的密钥对存放在ca.key中。

生成密钥对命令的详细解释:

  • genrsa:用RSA算法产生(gen）密钥对;

  • -out privatelca.key:生成的密钥对存放(-out）在private目录下的ca.key文件中;

  • -rand privatel.rnd:在RSA算法中，伪随机数产生器用的种子是放在private.rnd中的;里面的种子管理员可以手动修改;

  • 2048:表示生成的密钥长度是2048位的。

    显然，上面的.key文件是明文保存的，是很不安全的。而密钥一旦泄漏，响应的证书也就失效。所以CA提供了一个可选配置，通过配置，使得每次生成一个新的密钥对的时候,必须用一个口令对响应的.key文件进行加密(加密算法是DES）。这在一定程度上提高了系统的可靠性。

1.4创建CA证书（自签名)

命令格式:

C:\CARoot \ req -new -x509 - days 3650 -key private\ca.key -out private\ca.crt -config openssl.cnf

在这里插入图片描述
命令详细解释:

  • req -new -x509：申请(req)一个新的(new)的x509证书;
    • days 3650：证书的有效期是3650天。一般CA证书的有效期较长，而用户证书的有效期相对来说较短;
  • -key private \ca. key:对这个证书进行签名的CA密钥存放在private\ca. key中(我们上一步产生CA密钥对的时候就是放在这里的）;
  • -out private\ca.crt：生成的证书放在(-out)private目录下，证书的名字是ca.crt;
  • -config openssl.cnf：产生证书的时候采用的配置策略,里面可能包括证书的版本信息、扩展信息等。

1.5 CA证书的详细内容

  • 版本(V3)
  • 序列号（00)
  • 加密算法（RSA、MD5)
  • 有效期（2005年5月24日至2015年5月22日)●公钥
  • 自签名(2048位)●颁发者
  • 证书申请者信息(注册过程中的全部信息）

（还有个生成用户证书的，这里就不展示了）

2-秘钥生成

1. 生成私钥

 openssl genrsa -out ../mycerts/rsa_private_key.pem 2048 生成rsa私钥，文本存储格式，长度2048

如果你想将PEM格式的私钥文件rsa_private_key.pem转成PEM格式的不加密的私钥文件

OpenSSL> pkcs8 -topk8 -inform PEM -in rsa_private_key.pem -outform PEM -nocrypt

2. 根据私钥生成对应的公钥

openssl rsa -in ../mycerts/rsa_private_key.pem -pubout -out ../mycerts/rsa_public_key_2048.pub

3. 私钥转化成pkcs8格式

 openssl pkcs8 -topk8 -inform PEM -in ../mycerts/rsa_private_key.pem outform PEM -nocrypt > ../mycerts/rsa_private_key_pkcs8.pem

生成的结果就是

rsa_private_key.pem
rsa_public_key.pem

4、相关参数

genrsa命令相关参数
【genrsa】
-out filename:将生成的私钥保存至filename文件,若未指定输出文件,则为标准输出。
numbits:指定要生成的私钥的长度,默认为1024。该项必须为命令行的最后一项参数。
-des:生成的密钥使用des方式进行加密。
-des3:生成的密钥使用des3方式进行加密。
-passout args:加密私钥文件时,传递密码的格式,如果要加密私钥文件时单未指定该项,则提示输入密码。传递密码的args的格式,可从密码、环境变量、文件、终端等输入。
      a.pass:password:password表示传递的明文密码
      b.env:var:从环境变量var获取密码值
      c.file:filename:filename文件中的第一行为要传递的密码。若filename同时传递给"-passin"和"-passout"选项，则filename的第一行为"-passin"的值，第二行为"-passout"的值
      d.stdin:从标准输入中获取要传递的密码
pkcs8相关参数
【pkcs8】
-inform PEM|DER：：输入文件格式，DER或者PEM格式。DER格式采用ASN1的DER标准格式。一般用的多的都是PEM格式，就是base64编码格式。
-outform DER|PEM：输出文件格式，DER或者PEM格式。
-in filename：输入的密钥文件，默认为标准输入。如果密钥被加密，会提示输入一个密钥口令。
-passin arg：输入文件口令保护来源。
-out filename：输出文件，默认为标准输出。如果任何加密操作已经执行，会提示输入一个密钥值。输出的文件名字不能和输入的文件名一样。
-passout arg：输出文件口令保护来源。
-topk8：通常的是输入一个pkcs8文件和传统的格式私钥文件将会被写出。设置了此选项后，位置转换过来：输入一个传统格式的私钥文件，输出一个PKCS#8格式的文件。
-noiter：MAC保护计算次数为1。
-nocrypt：PKCS#8密钥产生或输入一般用一个适当地密钥来加密PKCS#8 EncryptedPrivateKeyInfo结构。设置了此选项后，一个不加密的PrivateKeyInfo结构将会被输出。这个选项一直不加密私钥文件，在绝对必要的时候才能够使用。某些软件例如一些JAVA代码签名软件使用不加密的私钥文件。
-nooct：这个选项产生的RSA私钥文件是一个坏的格式，一些软件将会使用。特别的是，私钥文件必须附上一个八位组字符串，但是一些软件仅仅包含本身的结构体没有使八位组字符串所环绕。不采用八位组表示私钥。
-embed：这个选项产生的RSA私钥文件是一个坏的格式。在私钥结构体中采用嵌入式DSA参数格式。在这个表单中，八位组字符串包含了ASN1 SEQUENCE中的两种结构：一个SEQUENCE包含了密钥参数，一个ASN1 INTEGER包含私钥值。
-nsdb：这个选项产生的RSA私钥文件是一个坏的格式并兼容了Netscape私钥文件数据库。采用NetscapeDB的DSA格式。
-v2 alg：采用PKCS#5 v2.0，并指定加密算法，默认的是PKCS#8私钥文件被叫做B<pbeWithMD5AndDES-CBC>（该算法用56字节的DES加密但是在PKCS#5 v1.5中有更加强壮的加密算法）的加密算法用口令进行加密。用B<-v2>选项，PKCS#5 v2.0相关的算法将会被使用，可以是des3（168字节）和rc2（128字节），推荐des3。
-v1 alg：采用PKCS#5 v1.5或pkcs12，并指定加密算法。可采用的算法见下面。
rsa相关参数
【rsa】
-inform PEM|NET|DER：输入文件格式，DER、PEM以及NET格式。DER格式采用ASN1的DER标准格式。一般用的多的都是PEM格式，就是base64编码格式。NET是为了和老的netscape server以及IIS兼容才弄出来的。他使用没有被salt过的RC4做加密算法，加密强度很底，如果不是一定要用就别用。
-outform PEM|NET|DER：输出文件格式，DER、PEM以及NET格式。同inform。
-in filename：输入的RSA密钥文件，默认为标准输入。
-out filename：RSA密钥输出文件，默认为标准输出。
-passin arg：指定私钥包含口令存放方式。比如用户将私钥的保护口令写入一个文件，采用此选项指定此文件，可以免去用户输入口令的操作。比如用户将口令写入文件“pwd.txt”，输入的参数为：-passin file:pwd.txt。
-passout arg：输出文件口令保护存放方式。
-sgckey：该选项是配合NET格式的私有密钥文件的一个选项。
-text：打印所有信息。
-noout：不打印信息。
-modulus：打印公钥信息。
-check：检查公司约是否匹配。
-pubin：设置此选项后，从输入文件中读取公钥值，默认读取的是私钥值。
-pubout：设置此选项后，保存公钥值到输出文件中，默认的是保存私钥值到输出文件中。
-engine id：指定引擎。
Ø  -des ，-des3， -idea， -aes128, -aes192, -aes256，-camellia128, -camellia192, -camellia256：指定的私钥保护加密算法。

参考链接：

  • 1、https://wenku.baidu.com/view/6a274407cc175527072208df?fr=text_ernie_recall%3Awk_recommend_main3-TopList_highScoreList-pcview_toplistrec_highscore_wk_recommend_main3-0e8f642dbd64783e09122b34&wkts=1675865285087&bdQuery=OpenSSL%E4%BD%BF%E7%94%A8
  • 2、https://wenku.baidu.com/view/0e8f642dbd64783e09122b34.html?fr=aladdin664466&ind=1&wkts=1675864390660&bdQuery=OpenSSL%E4%BD%BF%E7%94%A8
  • 3、https://blog.csdn.net/my_miuye/article/details/123151834
Hcoco_me
关注
  • 2
    点赞
  • 踩
  • 22
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
国密openssl安装包
11-03
国密openssl安装包
openssl1.1.1 动态库
09-29
x64和x86的debug/release版动态库
OpenSSL3.0.0静态编译
06-23
OpenSSL3.0.0 msvc2019 x64和x86 静态编译
openssl-windows64
11-08
openssl库，适用于windows64位，数据加密解密相关
openssl 学习笔记
02-25
学习openssl的必备资料，包含openssl的一些常用的知识点。
Windows 下OpenSSL安装过程及错误解决办法
热门推荐
发呆的程序猿
04-19 7万+
Windows下使用OpenSSL有两种方式： 一.直接下载别人编译好的安装包：http://slproweb.com/products/Win32OpenSSL.html 二.自己编译安装： 1.下载并安装perl http://www.activestate.com/activeperl/downloads/ 2.安装与配置： 直接运行安装文件（例如：Activ...
linux上安装Openssl步骤详解
梦想起飞的地方.........
12-21 1万+
linux上安装Openssl步骤详解     1，查看原有系统是否已安装Openssl openssl version -a 系统已经安装了openssl，我们先安装新的版本，然后将环境配置成最新的版本。 2，从openssl官网下载最新的稳定版本，https://www.openssl.org/source/ 当前的稳定版是 openssl-fips-2.0.16.t
深入探索 OpenSSL：概念、原理、开发步骤、使用方法、使用场景及代码示例
深耕嵌入式领用多年， 致力于分享嵌入式领域技术!
07-01 5873
深入探索 OpenSSL：概念、原理、开发步骤、使用方法、使用场景及代码示例
openssl详解与应用教程
qq_36973838的博客
07-29 6920
通过openssl version -a查看当前openssl的版本，一般的linux系统会自带SSL。 通过vim /usr/lib/ssl/openssl.cnf修改配置文件，这里修改了默认文件夹、私钥名、证书名。 通过cd ssl进入默认文件夹 在默认文件夹创建所需的目录和文件 mkdir -pv {certs,crl,newcerts,private} touch {serial,index.txt,index.txt.attr} -pv可以显示执行进度 指明证书开始的编号 echo 01
openSSL
lvlei19911108的博客
06-24 5320
OpenSSL的核心的本质在于可以由用户自己来进行证书的签发，自定义证书是不被谷歌支持的，要想玩自定义证书就要通过火狐浏览器。 OpenSSL简介 为网络通信提供安全及数据完整性的一种安全协议，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，并提供了丰富的应用程序供测试或其他目的使用。 通过在一定范围内部署一台CA(Certificate Authority)服务器(CA就是认证...
Windows Openssl安装
11-19
Windows64 Openssl安装
openssl 学习整理
08-06
openssl 学习整理,有关于openssl的详细讲解
OpenSSL库和头文件
05-12
已经编译好的OpenSSL库和头文件，编译工具是vs2019
OpenSSL3.0.12
11-12
OpenSSL3.0.12
openssl win x64
05-23
msvc openssl 编译，内含头文件，dll，lib
openssl库详细介绍
04-24
openssl库详细介绍
AD--SSL卸载--单向认证和双向认证
qq_61759561的博客
04-23 310
AD--SSL卸载--单向认证和双向认证
openssl在linux下的移植
qq_24258593的博客
04-23 306
linux移植库
Linux：使用ssl加密网站为https
最新发布
fox_kang的博客
04-26 318
【代码】Linux：使用ssl加密网站为https。
如何学习openssl
05-30
学习OpenSSL需要掌握一定的加密算法和编程基础，建议按照以下步骤进行学习： 1. 学习加密算法和SSL/TLS协议的基础知识，包括对称加密算法、非对称加密算法、哈希算法、数字签名等。 2. 学习C语言或其他支持OpenSSL的编程语言，掌握基本的编程概念和语法。 3. 学习OpenSSL的API，了解如何使用OpenSSL库进行加密、解密、签名、验证等操作。可以参考OpenSSL官方文档、书籍或在线教程。 4. 实践操作，编写简单的程序来加深对OpenSSL的理解和掌握。 5. 参与OpenSSL社区，了解最新的开发动态和技术趋势，与其他开发者交流经验和学习心得。 需要注意的是，学习OpenSSL需要一定的数学基础和编程经验，建议按照自己的实际情况制定学习计划，并逐步深入学习。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值