OpenSSL笔记
OpenSSL介绍
OpenSSL是一个安全工具集，同时也提供了开源程序库。它支持ssl(Secure Sockets Layer, v2/v3)，TLS(Transport Layer Secure, v1)。这套工具集的应用范围非常之广，包括：
- 创建和管理私钥、公钥。
- 公钥加密操作。
- 创建X.509证书（Certificate），证书请求（CSR），证书撤销（CRL）。
- 计算消息摘要（MD5, SHA-1等）。
- 使用密码加解密（Encryption/Decryption with Ciphers）。
- SSL/TLS 客户端/服务器测试。
- 处理S/MIME签名以及加密邮件。
- 等等。
openssl工具列表
openssl的命令行格式为
openssl command [ command_opts ] [ command_args ]
其中command是openssl下辖的工具，而每个工具，又有其自己的命令行参数和选项。openssl中常用的工具如下：
标准命令
- genrsa
- 生成RSA密钥。RSA是主流浏览器都支持的一种加密算法。
- rsa
- RSA密钥管理。
- req
- X.509 CSR(Certificate Signing Request)
- x509
- X.509证书数据管理（X.509 Certification Data Management）。
- dgst
- 计算消息摘要（Message Digest Calculation）。
- s_client
- 作为SSL/TLS客户端运行。
- s_server
- 作为SSL/TLS服务器运行。
- s_time
- SSL连接的性能测试。
- smime
- S/MIME处理。
- speed
- 算法的速度测试。
- verify
- X.509证书验证。
消息摘要命令
包括著名的md5, sha1，其他的还有：md2, mdc2, rmd160, sha, sha224, sha256, sha384, sha512等。
编码和加密命令（Encoding and Cipher）
base64，bf(Blowfish Cipher), cast(CAST Cipher), des, des3, idea, rc2, rc4, rc5等。
openssl技巧和使用说明
个人认为openssl和UNIX传统的简单哲学相悖。UNIX的简单哲学是一个程序只做一件事，并做好，但openssl做了太多事，甚至于它下辖的一些工具，也有太多的选项和参数，容易让人混淆。
openssl的工具名，和某些工具的选项名是一样的。例如openssl x509命令中的"x509"是X.509证书数据管理工具，但在如openssl req -x509这样的命令中，"-x509"是作为openssl req命令的一个选项。openssl完成一件事不止一种方法，应该说有很多方法。这样在不同的文档，例子中，就能看到做一件的许多方法，加上如工具名和选项名的相同，容易让人混淆。
个人推荐的openssl学习方法是，学习各种示例；根据示例中用到的工具，以及工具的选项和参数，查看手册。
获取完整的openssl工具列表
$ openssl -h
运行此命令，openssl会输出"openssl:Error: '-h' is an invalid command."，但不要理会，这就是完整的命令列表。同样的，获取某个工具的帮助：
$ openssl genrsa -h
获取openssl的版本信息
$ openssl version $ openssl version -a
openssl工具详解
openssl genrsa
openssl genrsa用于生成RSA私钥，基本格式：
openssl genrsa -out file [numbits]
numbits表示密钥长度，默认是512。测试：
$ openssl genrsa -out s.key 1024
查看密钥：
$ less s.key -----BEGIN RSA PRIVATE KEY----- MIICXwIBAAKBgQC7nLRFKJDh9gZKqixYYiUPt5EhWxU/k/or96Awu3QnTJiwXIX3 IEe8BCwKX8CVpJpT1kvumuZf1kPjdb26iu+DeW88mm9q+2531hXLHdhM0UprPjN/ 3p6pDPGmCbqQM1jsw7ih11VodE5Skg6ICInMxwbw4i4ICK0v+nCIBaxvOQIDAQAB AoGBAJPjsiL2GEdW1ZzTykMdkpNyI4BEuVo1vrYb6/WePrCf65jSRnQIySNHsqO2 2Svc5h6CRbbf+gu/7iIGdTnwPV5vOf0QGUnwjsoNn7bkjII0oBgsh7miYyvDT+nk d+6VH2gywbIBfamc6NoZ27XcQlYV4FuLQRVlU9Zd5LyEEcJlAkEA54JZ9X+M3cy3 NVrHPTXaYZSjgUcZ2LoCRiTsowL00ijzO6qYPwuN5qwcYjBgWfl3JSUaU0HOqQtw tibCcO+Z1wJBAM91jGKxEqYFKg+8uOGkuksv+x9IhzavUOHtVGJF6lVebgqmReBN P2W8TTxkFykp+C7Fezj9BQcfYeiffOvTvW8CQQCU/I5oL224T8aXz5PpEH85zS5s RBWeJBbSjXC8d2qW1UOzYlYYPJdVm+2oQvm+7Yx/myEV84PLxlEC6G65v3iBAkEA s4BQ7J+rtAxp3V38VfiS3DVywhmeLLm6cRFJXxKBdEYVTo+ZjD8qaJtp9KPhylMv E0D5olCChiwoKf+9NctqbwJBALWHgc4eBN/5sBQ5JawVfkMAzWW3j1PDUU2aNftp 7QVonE/cTfJLf//rNLy6lYwZH1l8/d3e+5ncaYFq61bw+ls= -----END RSA PRIVATE KEY-----
缩短或增加numbits的值，可见输出私钥文件变短或增长。
openssl req
openssl req是一个 PKCS#10 证书签署请求和证书生成工具。
在PKI(Public Key Infrastructure)系统中，证书签署请求(CSR)是应用给CA发送的消息，CA将为之生成数字证书（通常需要付费；也可以通过openssl生成自签名的证书）。CSR的格式通常为PKCS#10。
PKCS(Public-Key Cryptography Standards)有很多种类，openssl工具集中也有一系列名为pkcs#x的工具。常见的如：
- PKCS#7，加密信息语法标准（Cryptography Message Syntax Standard）。用于签名或加密消息，是S/MIME的基石。
- PKCS#10，证书签署请求（CSR）。
- PKCS#12，个人信息交换语法标准（Personal Information Exchange Syntax Standard）。
openssl req工具的参数非常之多：
- -new
- 生成新的证书请求。如果没有 -key 参数，则会生成新的RSA私钥。
- -key file
- 私钥文件。
- -nodes
- 如果要生成私钥，则不对私钥加密（将命令理解为 no des）。
- -x509
- 生成一个自签名证书，而非一个证书签署请求。
以下列出一些openssl req的常见用法。
生成证书签署请求(CSR)与生成证书
方法1 ：用openssl genrsa生成私钥，用openssl req生成证书签署请求：
$ openssl genrsa -out s.key 1024 $ openssl req -new -key s.key -out s.csr
方法2 ：用req生成私钥，并生成证书签署请求：
$ openssl req -newkey rsa:1024 -keyout s.key -out s.csr -nodes
注意，这里加了-nodes选项，否则要求输入密码保护私钥。接下来，可以把s.csr发送给CA请求签署证书，或者用openssl自签署。
生成证书签署请求时，需要用户输入的信息：
Country Name (2 letter code) [GB]: State or Province Name (full name) [Berkshire]: Locality Name (eg, city) [Newbury]: Organization Name (eg, company) [My Company Ltd]: Organizational Unit Name (eg, section) []: Common Name (eg, your name or your server's hostname) []: Email Address []: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []:
可以用-subj选项在命令行中写入这些信息。
方法3 跳过CSR，直接生成证书：
$ openssl req -x509 -nodes -days 365 \
-subj '/C=CN/ST=BeiJing/L=HaiDian/CN=www.berlinix.com' \
-newkey rsa:1024 -keyout s.key -out s.crt
这个命令与之前命令的区别：
- 使用了
-x509，用于直接生成证书，而非证书签署请求（CSR）。是否带有-x509选项，是区分生成证书（有-x509），还是生成CSR（没有-x509）的判断依据。 - 使用了
-subj，在命令行填入了信息。 - 使用了
-days，限制了证书的有效期（-dyas 365表示：从生成证书之日起的365天内有效）。 - 输出了s.crt（含有公钥的证书），而非s.csr（请求）。
- 运行此命令输出2个文件：s.key（私钥）, s.crt（证书/公钥）。
可以查看.crt, .csr文件的内容。.crt文件的开始与结束为：
-----BEGIN CERTIFICATE REQUEST----- -----END CERTIFICATE REQUEST-----
.crt文件的开始与结束为：
-----BEGIN CERTIFICATE----- -----END CERTIFICATE-----
验证CSR文件是否有效
在把s.csr文件发送给CA（或自签署）之前，验证它是否正确：
$ openssl req -nodes -days 365 \
-subj '/C=CN/ST=BeiJing/L=HaiDian/CN=www.berlinix.com' \
-newkey rsa:1024 -keyout s.key -out s.csr
$ openssl req -in s.csr -noout -verify -key s.key
verify OK
查看CSR文件的内容
$ openssl req -in s.csr -noout -text
Certificate Request:
Data:
Version: 0 (0x0)
Subject: C=CN, ST=BeiJing, L=HaiDian, CN=www.berlinix.com
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
....
Exponent: 65537 (0x10001)
Attributes:
a0:00
Signature Algorithm: sha1WithRSAEncryption
...
用s_server/s_client测试证书
用s_server建立服务器：
$ openssl s_server -cert s.crt -key s.key -www
用s_client作为客户端：
$ openssl s_client -connect localhost:4433
openssl s_client的输出中有一些信息：
verify error:num=18:self signed certificate --> 发现是自签署证书 subject=/C=CN/ST=BeiJing/L=HaiDian/CN=www.berlinix.com --> subject和issuer信息相同 issuer=/C=CN/ST=BeiJing/L=HaiDian/CN=www.berlinix.com SSL-Session: --> 开启SSL会话
openssl实例
获取证书
获取远程服务器下发的证书（用sed过滤）：
$ openssl s_client -connect www.gmail.com:443 2>&1 |\
sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'
性能测试
使用s_time测试连接性能：
$ openssl s_time -connect www.google.com:443 No CIPHER specified Collecting connection statistics for 30 seconds 192 connections in 0.15s; 1280.00 connections/user sec, bytes read 0 192 connections in 31 real seconds, 0 bytes read per connection Now timing with session id reuse. starting 282 connections in 0.05s; 5640.00 connections/user sec, bytes read 0 282 connections in 31 real seconds, 0 bytes read per connection
其他
参考
站内
Apache https配置中，用到openssl。
密码学入门 介绍到这篇笔记中常见的一些术语，如X.509, RSA等。
ssl 介绍了SSL本身。
站外
openssl官方手册
OpenSSL Command-Line HOWTO openssl的许多示例用法。