老程序员分享:OpenSSL介绍和使用

简介: 老程序员分享:OpenSSL介绍和使用

转自:


一、SSL 简介


按照我的理解来解释下,为了让网络通信更安全,需要认证和加密,认证是说明你是要找的人,加密是为了让截获中间报文第三者无法得到消息内容。


为此有人设计了SSL,即套接字上的安全层,简单来说就是在TCP之上做一个安全通信层,HTTP on SSL 即是HTTPs,现在几乎所有的银行网站访问都是基于HTTPS协议的。


认证是通过证书+非对称加密算法来解决的,具体我也不搬迁了大家去看看


https交互过程


SSL交互过程还是很复杂的,牵扯到非对称加密和对称加密,以及复杂的交互过程,为此有人写了openssl库,这个库的使用非常广泛,本文就是阐明如何安装和基本使用这个库的。


有了这openssl库,就可以直接写和HTTPS的交互的代码了。


二、openssl 功能


openssl可以实现:秘钥证书管理、对称加密和非对称加密 。


openssl: 多用途的命令行工具,包openssl,可以执行交互或批量命令。


libcrypto: 加密算法库,包openssl-libs。


libssl:加密模块应用库,实现了ssl及tls,包nss。


1.1 加密命令


工具: openssl enc, gpg


算法: 3des, aes, blowfish, twofish、3des等。


常用选项有:


-in filename:指定要加密的文件存放路径


-out filename:指定加密后的文件存放路径


-salt:自动插入一个随机数作为文件内容加密,默认选项 加点盐:)


-e:加密;


-d:解密,解密时也可以指定算法,若不指定则使用默认算法,但一定要与加密时的算法一致


-a/-base64:当进行加解密时,他只对数据进行运算,有时需要进行base64转换,设置


此选项后加密结果进行base64编码,解密前先进行base64编码。


加密解密算法可以通过自己制定,有什么算法可以通过openssl help enc去查看加密内容。


enc命令:


帮助: man enc


加密:


openssl enc -e -des3 -a -salt -in testfile -out testfile.cipher


解密:


openssl enc -d -des3 -a -salt –in testfile.cipher -out testfile


openssl ?


对称加密算法


OpenSSL一共提供了8种对称加密算法,其中7种是分组加密算法,仅有的一种流加密算法是RC4。这7种分组加密算法分别是AES、DES、Blowfish、CAST、IDEA、RC2、RC5,都支持电子密码本模式(ECB)、加密分组链接模式(CBC)、加密反馈模式(CFB)和输出反馈模式(OFB)四种常用的分组密码加密模式。其中,AES使用的加密反馈模式(CFB)和输出反馈模式(OFB)分组长度是128位,其它算法使用的则是64位。事实上,DES算法里面不仅仅是常用的DES算法,还支持三个密钥和两个密钥3DES算法。


非对称加密算法


OpenSSL一共实现了4种非对称加密算法,包括DH算法、RSA算法、DSA算法和//代码效果参考:http://www.jhylw.com.cn/280836409.html

椭圆曲线算法(EC)。DH算法一般用户密钥交换。RSA算法既可以用于密钥交换,也可以用于数字签名,当然,如果你能够忍受其缓慢的速度,那么也可以用于数据加密。DSA算法则一般只用于数字签名。

1.2 摘要命令


OpenSSL实现了5种信息摘要算法,分别是MD2、MD5、MDC2、SHA(SHA1)和RIPEMD。SHA算法事实上包括了SHA和SHA1两种信息摘要算法,此外,OpenSSL还实现了DSS标准中规定的两种信息摘要算法DSS和DSS1。


摘要一般有两个作用:1)做信息完整性校验;2)保存密码,有些密码是直接在数据库中采用MD5(真实密码值)保存的,有的还进行加盐处理,使其难以破解,这样密码只能重置,无法告诉你原始过程,因为摘要是不可逆的。


openssl dgst


常用选项有:


【-md5|-md4|-md2|-sha1|-sha|-mdc2|-ripemd160|-dss1】 :指定一种摘要算法


-out filename:将摘要的内容保存到指定文件中


dgst命令:


帮助: man dgst


openssl dgst -md5 【-hex默认16进制】 /PATH/SOMEFILE


openssl dgst -md5 testfile


md5sum /PATH/TO/SOMEFILE


MAC: Message Authentication Code,单向加密的一种延伸应用,//代码效果参考:http://www.jhylw.com.cn/152236725.html

用于实现网络通

信中保证所传输数据的完整性机制


CBC-MAC


HMAC:使用md5或sha1算法


简单示例,对文件1进行求md5摘要:


image.png


1.3 生成密码和base64等


生成密码需要使用的标准命令为 passwd ,用法如下:


openssl passwd 【-crypt】 【-1】 【-apr1】 【-salt string】 【-in file】 【-stdin】 【-noverify】 【-quiet】 【-table】 {password}


常用选项有:


-1:使用md5加密算法


-salt string:加入随机数,最多8位随机数


-in file:对输入的文件内容进行加密


-stdion:对标准输入的内容进行加密


image.png


1.4 生成随机数


在SSL交互过程中,需要生成随机数。


生成随机数需要用到的标准命令为 rand ,用法如下:


openssl rand 【-out file】 【-rand file(s)】 【-base64】 【-hex】 num


常用选项有:


-out file:将生成的随机数保存至指定文件中


-base64:使用base64 编码格式


-hex:使用16进制编码格式


image.png


1.5 生成密钥对


首先需要先使用 genrsa 标准命令生成私钥,然后再使用 rsa 标准命令从私钥中提取公钥。


genrsa 的用法如下:


openssl genrsa 【-out filename】 【-passout arg】 【-des】 【-des3】 【-idea】 【-f4】 【-3】 【-rand file(s)】 【-engine id】 【numbits】


常用选项:


-out filename:将生成的私钥保存至指定的文件中


-des|-des3|-idea:不同的加密算法


numbits:指定生成私钥的大小,默认是2048


一般情况下秘钥文件的权限一定要控制好,只能自己读写,因此可以使用 umask 命令设置生成的私钥权限,示例如下:


image.png


ras 的用法如下:


openssl rsa 【-inform PEM|NET|DER】 【-outform PEM|NET|DER】 【-in filename】 【-passin arg】 【-out filename】 【-passout arg】


【-sgckey】 【-des】 【-des3】 【-idea】 【-text】 【-noout】 【-modulus】 【-check】 【-pubin】 【-pubout】 【-engine id】


常用选项:


-in filename:指明私钥文件


-out filename:指明将提取出的公钥保存至指定文件中


-pubout:根据私钥提取出公钥


image.png


1.7创建证书


使用openssl工具创建CA证书和申请证书时,需要先查看配置文件,因为配置文件中对证书的名称和存放位置等相关信息都做了定义,具体可参考 /etc/pki/tls/openssl.cnf 文件。


第一步:创建为 CA 提供所需的目录及文件


!【i(//upload-images.jianshu.io/upload_images/1737506-a44da07298662473.png!web?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)


第二步:指明证书的开始编号


】# echo 01 ] serial


第三步:生成私钥,私钥的文件名与存放位置要与配置文件中的设置相匹配;


image


第四步:生成自签证书,自签证书的存放位置也要与配置文件中的设置相匹配,生成证书时需要填写相应的信息;


image


命令中用到的选项解释:


-new:表示生成一个新证书签署请求


-x509:专用于CA生成自签证书,如果不是自签证书则不需要此项


-key:生成请求时用到的私钥文件


-out:证书的保存路径


-days:证书的有效期限,单位是day(天),默认是365天


(2)颁发证书


在需要使用证书的主机上生成证书请求,以 httpd 服务为例,步骤如下:


第一步:在需要使用证书的主机上生成私钥,这个私钥文件的位置可以随意定


第二步:生成证书签署请求


第三步:将请求通过可靠方式发送给 CA 主机


image


第四步:CA 服务器拿到证书签署请求文件后颁发证书,这一步是在 CA 服务器上做的


image


查看证书信息的命令为:


image


(3)吊销证书


吊销证书的步骤也是在CA服务器上执行的,以刚才新建的 httpd.crt 证书为例,吊销步骤如下:


第一步:在客户机上获取要吊销证书的 serial 和 subject 信息


第二步:根据客户机提交的 serial 和 subject 信息,对比其余本机数据库 index.txt 中存储的是否一致


第三步:执行吊销操作


image


第四步:生成吊销证书的吊销编号 (第一次吊销证书时执行)


# echo 01 > /etc/pki/CA/crlnumber


第五步:更新证书吊销列表


# openssl ca -gencrl -out /etc/pki/CA/crl/ca.crl


查看 crl 文件命令:


# openssl crl -in /etc/pki/CA/crl/ca.crl -noout -text


转自:


其他:


作者:明翼


链接:


来源:简书


著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。


诸位正值青春年少,一定恣情放纵,贪恋香艳梅施之情,喜欢风流雅韵之事,洒脱木拘。然而诸位可知,草上露一碰即落,竹上霜一触即溶,此种风情难于长久。

相关文章
|
算法 安全 Linux
浅浅学习一下OpenSSL
浅浅学习一下OpenSSL
362 0
|
安全 网络协议 网络安全
深入理解OpenSSL:从基础到高级应用
深入理解OpenSSL:从基础到高级应用
1480 0
|
10月前
|
JSON 自然语言处理 Java
OpenAI API深度解析:参数、Token、计费与多种调用方式
随着人工智能技术的飞速发展,OpenAI API已成为许多开发者和企业的得力助手。本文将深入探讨OpenAI API的参数、Token、计费方式,以及如何通过Rest API(以Postman为例)、Java API调用、工具调用等方式实现与OpenAI的交互,并特别关注调用具有视觉功能的GPT-4o使用本地图片的功能。此外,本文还将介绍JSON模式、可重现输出的seed机制、使用代码统计Token数量、开发控制台循环聊天,以及基于最大Token数量的消息列表限制和会话长度管理的控制台循环聊天。
3284 7
|
Kubernetes 搜索推荐 网络协议
使用 kubeadm 部署 Kubernetes 集群(三)kubeadm 初始化 k8s 证书过期解决方案
使用 kubeadm 部署 Kubernetes 集群(三)kubeadm 初始化 k8s 证书过期解决方案
866 8
|
11月前
|
JSON 监控 安全
JSONP 被劫持后会对用户造成哪些危害?
JSONP 被劫持后可能对用户造成严重的危害,涉及信息安全、财产安全和隐私保护等多个方面。因此,在使用 JSONP 进行跨域数据交互时,必须采取有效的安全措施来防止劫持事件的发生。
266 7
|
Ubuntu Linux
在Ubuntu上卸载与离线安装OpenSSL
本文介绍了在Linux环境下离线安装OpenSSL的详细步骤,包括删除已存在关联文件、删除软件包和配置文件、解压安装包、编译安装、删除旧软链接、创建新软链接,以及验证安装版本的命令。
912 0
|
算法 网络协议 Python
python比较TCP_NODELAY启用与否的耗时
Nagle算法是TCP中的一种流量控制算法,它会将小的数据包合并成大的数据包,减少TCP数据包传输的开销,提高网络传输的效率。但是,Nagle算法会将ACK响应延迟一段时间,导致并不是每个数据包到达服务端都会立即得到响应。对于实时性要求较高的应用,可以禁用Nagle算法,从而使得数据包能够及时到达服务端并立即得到响应。
389 0
QString字符串的查找与截取实例
QString字符串的查找与截取实例
418 1
用Python的Numpy求解线性方程组
用Python的Numpy求解线性方程组
|
开发框架 JSON .NET
初学者不会写接口怎么办?微软Visual Studio 2022无脑式API接口创建——Swagger一键导入APIKit快速测试
初学者不会写接口怎么办?微软Visual Studio 2022无脑式API接口创建——Swagger一键导入APIKit快速测试
737 0