一聚教程网:一个值得你收藏的教程网站

热门教程

OPENSSL常用命令大全

时间:2022-06-30 16:03:05 编辑:袖梨 来源:一聚教程网

OPENSSL的使用也是比较常见的,很多人工作或是生活中都会使用OPENSSL。大家可能对于OPENSSL经常使用的命令不是很熟悉,下面文章就给大家介绍下OPENSSL有哪些常用的命令,还不知道的下面一起来看看。

X509v3 extensions: //x509扩展信息

X509v3 Subject Key

Identifier:

0E:DB:FE:E6:CF:FE:A6:C8:6D:38:06:A5:22:34:DA:82:A9:BE:42:B8

X509v3

Authority Key

Identifier:

keyid:0E:DB:FE:E6:CF:FE:A6:C8:6D:38:06:A5:22:34:DA:82:A9:BE:42:B8

X509v3 Basic Constraints:

CA:TRUE

Signature Algorithm: sha1WithRSAEncryption

32:43:0c:e8:32:6f:30:10:c9:0f:a3:36:24:7c:a5:dc:da:8c:

//

CA的签名

c4:90:69:90:de:b1:1b:19:8e:b1:a5:35:ce:2e:7a:05:69:94:

46:72:37:c2:2c:38:57:4a:0c:89:bc:90:95:03:af:f2:6f:a0:

3f:13:5f:f0:90:a7:2c:bf:75:ee

算法

加密算法分为两种:对称加密算法和非对称加密算法;

对称加密算法:即信息的发送方和接收方使用同一个密钥去加密和解密数据。它的最大优势是加/解密速度快,适合于对大数据量进行加密,但密钥管理困难。AES,DES等都是常用的对称加密算法;

非对称加密算法:它需要使用不同的密钥来分别完成加密和解密操作,一个公开发布,即公开密钥,另一个由用户自己秘密保存,即私用密钥。信息发送者用公开密钥去加密,而信息接收者则用私用密钥去解密。公钥机制灵活,但加密和解密速度却比对称密钥加密慢得多。RSA,DSA等是常用的非对称加密算法;

所以在实际的应用中,人们通常将两者结合在一起使用,例如,对称密钥加密系统用于存储大量数据信息,而公开密钥加密系统则用于加密密钥。

另外还有一种我们需要知道的加密算法,叫做摘要算法,英文名是messagedigest,用来把任何长度的明文以一定规则变成固定长度的一串字符。那么我们在对文件做签名的时候,通常都是先使用摘要算法,获得固定长度的一串字符,然后对这串字符进行签名。

Base64不是加密算法,它是编码方式,用来在ASCII码和二进制码之间进行转换。

RSA

RSA是目前比较流行的非对称加密算法,所谓非对称,就是指该算法需要一对密钥,使用其中一个加密,则需要用另一个才能解密。下面简单介绍一下它的原理:

RSA的算法涉及三个参数,n、e1、e2。

其中,n是两个大质数p、q的积,n的二进制表示所占用的位数,就是所谓的密钥长度。

e1和e2是一对相关的值,e1可以任意取,但要求e1与(p-1)*(q-1)互质;再选择e2,要求(e2*e1) mod((p-1)*(q-1))=1。

(n,e1), (n,e2)就是密钥对。其中(n,e1)为公钥,(n,e2)为私钥。

RSA加解密的算法完全相同,设A为明文,B为密文,则:A=B^e2 mod n;B=A^e1 mod n;(公钥加密体制中,一般用公钥加密,私钥解密)

e1和e2可以互换使用,即:

A=B^e1mod n;B=A^e2 mod n;

关于RSA加密算法的详细介绍可以参考百度百科;

协议

SSL是Secure Sockets Layer(安全套接层协议)的缩写,可以在Internet上提供秘密性传输。Netscape公司在推出第一个Web浏览器的同时,提出了SSL协议标准。其目标是保证两个应用间通信的保密性和可靠性,可在服务器端和用户端同时实现支持。已经成为Internet上保密通讯的工业标准。

OpenSSL是一个强大的安全套接字层密码库,囊括主要的密码算法、常用的密钥和证书封装管理功能及SSL协议,并提供丰富的应用程序供测试或其它目的使用。

OpenSSL整个软件包大概可以分成三个主要的功能部分:SSL协议库、应用程序以及密码算法库。OpenSSL的目录结构自然也是围绕这三个功能部分进行规划的。

Openssl目前最新的稳定版本是1.0.2,可以在openssl的官网下载openssl-1.0.2的源代码。

Android中已经集成了openssl,源码目录在:external/openssl

工具

RSA是目前最有影响力的公钥加密算法,它能抵抗到目前为止已知的绝大多数密码攻击。下面我们要介绍的工具将会主要涉及到秘钥的产生、管理,证书请求及证书的产生,数据加密、解密,算法签名及身份验证等;

genrsa

生成RSA私有密钥,用法如下:

openssl genrsa [-outfilename] [-passout arg] [-aes128] [-aes192] [-aes256] [-des] [-des3] [-idea][-f4] [-3]

[-rand file(s)] [-engine id] [numbits]

Options:

l -outfilename:将生成的私钥输出到指定文件,默认为标准输出;

l -passoutarg:如果对生成的密钥使用加密算法的话,可以使用”-passout”选项指定密码来源,这里的arg可以是”pass:password”,”file:pathname”,”stdin”等;

l -des|-des3|-idea:采用什么加密算法来加密生成的密钥,一般需要输入保护密码;

l -f4|3:生成密钥过程中使用的公共组件,65537或3,默认使用65537;

l numbits:密钥长度,必须是genrsa命令的最后一个参数,默认值是512;

注意:genrsa生成的私钥默认是PEM编码格式;

Example:

1)生成私钥:

openssl genrsa -out private.pem -3-2048

rsa

RSA密钥管理工具,用法如下:

openssl rsa [-informPEM|NET|DER] [-outform PEM|NET|DER] [-in filename] [-passin arg] [-outfilename] [-passout arg] [-sgckey] [-aes128] [-aes192] [-aes256] [-des] [-des3][-idea] [-text] [-noout] [-modulus] [-check] [-pubin] [-pubout]

Options:

l -informPEM|NET|DER:指定输入格式,可以是PEM,NET或DER格式;

l -outformPEM|NET|DER:指定输出格式,可以是PEM,NET或DER格式;

l -infilename:指定输入文件,如果是加密过的密钥,会要求你输入密码;

l -outfilename:指定输出文件名称;

l -passinarg:输入密钥的密码来源;

l -passoutarg:输出密钥如果加密的话,该参数用于指定密码的来源;

l -text:以只读方式输出密钥及组件信息;

l -noout:不打印密钥文件;

l -modulus:显示密钥的模数;

l -pubin:默认从输入文件中读取私钥,如果该选项打开的话,就可以从输入文件中读取公钥;

l -pubout:默认输出私钥,使用该选项的话,将会输出公钥,如果pubin打开的话,pubout也会被自动打开;另外使用该参数的话,可以由私钥导出公钥;

l -check:检查RSA密钥是否被破坏;

Example:

1)去掉私钥的保护密码

openssl rsa -in private.pem -outprivate_out.pem

2)用DES3算法加密密钥,需要输入保护密码

openssl rsa -in private.pem -des3 -outprivate_out.pem

3)把私钥文件从PEM格式转换为DER格式

openssl rsa -in private.pem -outformDER -out private.der

4)打印私钥组件信息

openssl rsa -in private.pem -text-noout

5)导出公钥文件

openssl rsa -in private.pem -outpublic.pem -pubout

6)检查密钥文件的完整性

openssl rsa -in private.pem -check-noout

rsautil

RSA工具指令,包含RSA算法签名,身份验证,加密/解密数据等功能,用法如下:

openssl rsautl [-in file][-out file] [-inkey file] [-pubin] [-certin] [-sign] [-verify] [-encrypt][-decrypt] [-pkcs]

[-ssl] [-raw] [-hexdump] [-asn1parse]

Options:

l -infile:指定输入文件;

l -outfile:指定输出文件;

l -inkeyfile:加密/解密数据时使用的密钥文件,缺省使用RSA私钥;

l -pubin:如果设置该选项,则使用RSA公钥加密/解密数据;

l -certin:指定使用证书文件加密/解密,证书中包含RSA公钥;

l -sign:数据签名,需要指定RSA私钥;

l -verify:数据验证;

l -encrypt:数据加密;

l -decrypt:数据解密;

l -pkcs|-ssl|-raw:指定数据填充模式,分别代表:PKCS#1v1.5(缺省值),SSL v2填充模式或无填充。如果要签名,只能使用pkcs或raw选项;

l -hexdump:用十六进制输出数据;

l -asn1parse:按照ASN.1结构分析输出数据,详细可以查看asn1parse命令,和”-verify”选项一起使用威力强大;

Example:

1)公钥加密

openssl rsautl -encrypt -in test.txt-out test.enc -inkey public.pem -pubin

注意:如果使用证书加密的话,需要使用-certin选项,-inkey指定证书文件;

2)私钥解密

openssl rsautl -decrypt -in test.enc-out test.dec -inkey private.pem

3)私钥签名

openssl rsautl -sign -in test.txt -outtest.sig -inkey private.pem

4)公钥验证

openssl rsautl -verify -in test.sig-out test.vfy -inkey public.pem -pubin

注意:如果使用证书验证签名,需要使用-certin选项,-inkey指定证书文件;

req

创建和处理证书请求的工具,它还能建立自签名的证书,做RootCA用。用法如下:

openssl req [-inform PEM|DER][-outform PEM|DER] [-in filename] [-passin arg] [-out filename] [-passout arg][-text] [-pubkey] [-noout] [-verify] [-modulus] [-new] [-rand file(s)] [-newkeyrsa:bits] [-newkey alg:file] [-nodes] [-key filename] [-keyform PEM|DER][-keyout filename] [-keygen_engine id] [-[digest]] [-config filename] [-subjarg] [-multivalue-rdn] [-x509] [-days n] [-set_serial n] [-asn1-kludge][-no-asn1-kludge] [-newhdr] [-extensions section] [-reqexts section] [-utf8][-nameopt] [-reqopt] [-subject] [-subj arg] [-batch] [-verbose]

在创建证书请求(CSR)的过程中会要求用户输入一些必要的信息,包括位置、组织、邮箱等信息,可以把它们放在配置文件里,也可以放在命令行参数里;

Options:

l -text:以可读方式打印将CSR文件里的内容;

l -noout:不要打印CSR文件的编码信息;

l -pubkey:解析CSR文件里的公钥信息,并打印出来;

l -modulus:解析CSR文件里的公钥模数,并打印出来;

l -verify:检验请求文件的签名信息;

l -new:创建新的CSR,它会要求用户输入一些必要信息。如果没有指定-key参数,将会生成新的私钥;

l -newkeyarg:创建新的CSR和新的私钥,参数指示私钥算法等信息(类似rsa:1024);

l -keyfilename:指定私钥文件,该选项支持pkcs8格式的私钥;

l -keyoutfilename:如果产生了新的私钥,则把私钥保存到指定文件;

l -[digest]:指定证书的摘要算法,可以是sha1|md5等,默认使用哈希算法;

l -configfilename:指定config文件,配置文件可以包含创建CSR所需的各种信息;

l -x509:产生自签名的证书,而不是证书请求;

l -days:证书的有效期,缺省是30天;

l -subject:显示CSR的位置,组织等信息;

l -subjarg:设置CSR的位置,组织等信息,格式:/C=AU/ST=Some-State/type0=value0

关于配置文件的格式,可以参考openssl的在线帮助文档;

Example:

1)生成一个私钥,并使用该私钥产生证书请求

openssl genrsa -out private.pem 1024

openssl req -new -key private.pem -outreq.pem

如果加上-sha256,则使用sha256摘要算法;

2)生成一个私钥,并使用该私钥产生证书请求,另一个方法

openssl req -newkey rsa:2048 -keyoutprivate.pem -out req.pem

3)检测并验证证书请求

openssl req -verify -in req.pem -text -noout

4)制作自签名的根证书,使用已有私钥

openssl req -new -x509 -key private.pem-sha256 -out rootca.crt

5)制作自签名的根证书,创建新的私钥

openssl req -newkey rsa:2048 -keyoutprivate.pem -x509 -sha256 -out rootca.crt

x509

证书管理工具,可以用来显示证书的内容,证书格式转换,为证书请求签名等。用法如下:

openssl x509 [-inform DER|PEM|NET][-outform DER|PEM|NET] [-keyform DER|PEM]

[-CAform DER|PEM] [-CAkeyform DER|PEM][-in filename] [-out filename] [-serial] [-hash] [-subject_hash] [-issuer_hash][-ocspid] [-subject] [-issuer] [-nameopt option] [-email] [-ocsp_uri][-startdate] [-enddate] [-purpose] [-dates] [-checkend num] [-modulus][-pubkey] [-fingerprint] [-alias] [-noout] [-trustout] [-clrtrust] [-clrreject][-addtrust arg] [-addreject arg] [-setalias arg] [-days arg] [-set_serial n][-signkey filename] [-passin arg] [-x509toreq] [-req] [-CA filename] [-CAkeyfilename] [-CAcreateserial] [-CAserial filename] [-force_pubkey key] [-text][-certopt option] [-C] [-md2|-md5|-sha1|-mdc2] [-clrext] [-extfile filename][-extensions section] [-engine id]

Options:

由于x509的选项比较多,下面我们来分类介绍:

1)输入/输出相关选项

l -inform|-outformDER|PEM|NET:指定输入/输出文件的编码格式;

l -in|-outfilename:指定输入/输出文件;

l -md2|-md5|-sha1|-mdc2:指定摘要算法,默认使用哈希算法;

2)显示选项

l -text:以可读方式打印证书内容;

l -pubkey:解析证书里面的公钥信息,并打印出来;

l -modulus:解析证书里面的公钥模数信息,并打印出来;

l -serial:显示证书的序列号;

l -subject:显示证书拥有者的信息;

l -issuer:显示证书颁发者的名字;

l -email:显示邮箱信息;

l -startdate|-enddate |-dates:显示证书有效期,起始和结束时间;

l -fingerprint:显示DER格式证书的DER版本信息;

l -C:以C语言源文件方式,输出证书;

3)信任相关的选项

l -purpose:显示证书用途;

4)签名相关选项

l -signkeyfilename:使用给定的私钥,对输入文件进行签名;如果输入文件是证书,那么它的颁发者就会被设置成其拥有者,其它项也会被设置成符合自签名特征的证书项;如果输入文件是证书请求,那么就会产生一个自签名的证书;

l -days:证书有效期;

l -x509toreq:把证书转换成证书请求,需要-signkey选项指定私钥;

l -req:默认输入文件是一个证书,使用该选项的话,指示输入文件是一个证书请求;

l -CAfilename:指定签名用的CA证书文件,该选项通常和-req一起用,对证书请求实施自签名;

l -CAkeyfilename:指定CA的私钥文件,对证书进行签名;

Examples:

1)显示证书内容

openssl x509 -in cert.pem –noout -text

2)显示证书序列号

openssl x509 -in cert.pem -noout-serial

3)显示证书的subject信息

openssl x509 -in cert.pem -noout-subject

4)显示证书的fingerprint信息

openssl x509 -in cert.pem -noout-fingerprint

5)证书格式转换

openssl x509 -in cert.pem -inform PEM-out cert.der -outform DER

openssl x509 -in cert.der -inform DER-out cert.pem -outform PEM

6)把证书转换为证书请求

openssl x509 -x509toreq -in cert.pem-out cert.csr -signkey private.pem

7)把证书请求转换为证书

openssl x509 -req -in careq.pem-extfile openssl.cnf -extensions v3_ca -signkey key.pem -out cacert.pem

8)从证书里面提取公钥

openssl x509 -pubkey -in cert.pem >pub.pem

9)以c语言源文件方式输出证书,PEM格式转换为DER格式

openssl x509 -in cert.pem -out cert.der-outform DER -C > cert.c

asn1parse

asn1parse是一个诊断工具,可以解析ASN.1结构的密钥,证书等,用法如下:

openssl asn1parse [-informPEM|DER] [-in filename] [-out filename] [-noout] [-offset number]

[-length number] [-i] [-oid filename][-dump] [-dlimit num] [-strparse offset] [-genstr string]

[-genconf file] [-strictpem]

Options:

l -i:以缩进方式显示ASN.1结构

Example:

1)解析文件:

openssl asn1parse -in file.pem

2)解析DER格式的文件

openssl asn1parse -inform file.der -infile.der

dgst

摘要算法,用法如下:

openssl dgst[-sha|-sha1|-mdc2|-ripemd160|-sha224|-sha256|-sha384|-sha512|-md2|-md4|-md5|-dss1][-c] [-d] [-hex] [-binary] [-r] [file...]

所谓摘要算法,就是把任何长度的明文以一定规则变成固定长度的一串字符。

Options:

-sha|-sha1 |-sha256 |-md5:算法名称;

-c:打印出哈希结果的时候用冒号来分隔开;

-d:详细打印出调试信息;

-hex:以十六进制输出哈希结果,默认值;

-binary:以二进制输出哈希结果;

file:要哈希的文件;

Example:

1)使用sha256摘要算法,并以二进制方式输出

openssl dgst -sha256 -binary file.txt

PEM和DER格式

PEM和DER是两种不同的编码格式,PEM使用ASCII(base64)编码方式,PEM格式文件的第一行和最后一行指明文件内容,DER采用二进制编码格式;使用openssl工具生成的密钥或证书,默认使用PEM编码格式;

实例

Image签名

高通平台支持bootimg签名和校验功能,下面我们先来看看它的签名脚本:

define build-boot-image

mv -f $(1) $(1).nonsecure

openssl dgst -$(TARGET_SHA_TYPE) -binary $(1).nonsecure >$(1).$(TARGET_SHA_TYPE)

openssl rsautl -sign -in $(1).$(TARGET_SHA_TYPE) -inkey$(PRODUCT_PRIVATE_KEY) -out $(1).sig

dd if=/dev/zero of=$(1).sig.padded bs=$(BOARD_KERNEL_PAGESIZE) count=1

dd if=$(1).sig of=$(1).sig.padded conv=notrunc

cat $(1).nonsecure $(1).sig.padded > $(1).secure

rm -rf $(1).$(TARGET_SHA_TYPE) $(1).sig $(1).sig.padded

mv -f $(1).secure $(1)

endef

这里定义了一个build-boot-image宏,使用方法如下:

$(INSTALLED_BOOTIMAGE_TARGET) :=$(PRODUCT_OUT)/boot.img

INSTALLED_SEC_BOOTIMAGE_TARGET :=$(PRODUCT_OUT)/boot.img.secure

$(INSTALLED_SEC_BOOTIMAGE_TARGET):$(INSTALLED_BOOTIMAGE_TARGET)

$(hide) $(callbuild-boot-image,$(INSTALLED_BOOTIMAGE_TARGET))

上面就是对bootimg实施签名操作的脚本,build-boot-image宏做了什么事呢?

1)对bootimg实施摘要算法

openssl dgst -sha256 -binary boot.img.nonsecure> boot.img.sha256

2)制作签名

openssl rsautl -sign -inboot.img.sha256 -inkey qcom.key -out boot.img.sig

3)填充签名

dd if=/dev/zero of=boot.img.sig.paddedbs=2048 count=1

dd if=boot.img.sig of=boot.img.sig.paddedconv=notrunc

生成好的签名已经保存到boot.img.sig.padded,文件大小是2048字节,用0填充;

4)把签名打到image上,并删除中间文件

cat boot.img.nonsecure boot.img.sig.padded> boot.img.secure

rm -rf $boot.img.sha256 boot.img.sigboot.img.sig.padded

mv -f boot.img.secure boot.img

Image签名完成,签名信息保存在image的最后2048字节,不足的都用0来填充;

验证签名又是怎样的过程呢?前面用到了qcom.key,这个是高通提供的私钥,那么要验证签名,我们就需要用这个私钥制作的证书。验证过程是在LK里面完成的,所以我们还需要把证书转换为C源文件方式,方法很简单,用下面几条命令就可以了:

openssl req -new -x509 -key qcom.key -days11324 -sha256 -out qcom.crt

openssl x509 -inform PEM -in qcom.crt-outform DER -out qcom.der > cert.c

好了,cert.c就是以C源文件方式存储的证书,替换到LK里面相应的数组就可以了;

制作testkey

testkey是用来给apk签名的,保存在build/target/product/security目录下,testkey.pk8是私钥,

testkey.x509.pem是证书,那么这个key和证书是如何生成的呢?README写的很清楚:

development/tools/make_key testkey '/C=US/ST=California/L=MountainView/O=android/OU=Android/

CN=Android/emailAddress=android@android.com'

development/tools/make_key是制作testkey的脚本文件,我们看几条比较重要的命令吧:

1)生成私钥

openssl genrsa -f4 2048 | tee ${one}> ${two}

2)制作证书

openssl req -new -x509 ${hash} -key${two} -out $1.x509.pem -days 10000 -subj "$2"

3)制作pk8格式私钥

openssl pkcs8 -in ${one} -topk8-outform DER -out $1.pk8 –nocrypt

SecureBoot

呵呵,还没准备好…

Help

OpenSSL提供了非常丰富的帮助信息,如果对哪个命令或参数不了解,可以很方便的使用帮助来查看命令的详细用法;

命令列表

使用下面命令查看openssl支持的命令和算法列表:

openssl [ list-standard-commands | list-message-digest-commands | list-cipher-commands |

list-cipher-algorithms | list-message-digest-algorithms | list-public-key-algorithms]

list-standard-commands:标准命令列表

list-message-digest-commands:摘要命令列表

list-cipher-commands:加密命令列表

list-cipher-algorithms:加密算法列表

list-message-digest-algorithms:摘要算法列表

list-public-key-algorithms:公钥加密算法列表

获取帮助

虽然openssl并不支持”-h”参数,使用”-h”参数,会出现类似” unknown option -h”的错误提示,但是openssl的帮助系统还是很nice的,在使用错误参数的情况下,会把命令的详细用法及参数解释列出来,因此,还是可以用”openssl command -h”的方式来获取帮助信息。

我们还可以使用类似”man genrsa”的方法,来查看openssl的帮助文档;

最后,我们还可以访问openssl的主页,里面有详细的帮助文档;

生成CSR的请求

openssl req -new -nodes -newkey rsa:2048 -keyout server.key -out server.csr 

将PEM文件合成为PFX(PKCS12)文件

需要合成PFX文件,必须有私钥文件server.key和服务器证书文件server.crt。此外,还需要根据服务器证书server.crt 下载中间证书chain.crt,以保证PFX文件中直接包含了中间证书。

openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt -certfile chain.crt 

从PFX(PKCS12)文件中,分解出KEY和CRT文件

将PFX文件转为一个PEM文件

openssl pkcs12 -in myssl.pfx -nodes -out server.pem 

导出私钥文件

openssl rsa -in server.pem -out server.key 

导出服务器证书文件

openssl x509 -in server.pem -out server.crt 

显示服务器证书的文信息

openssl x509 -in server.crt -noout –text

查看PFX(PKCS12)文件中的内容

openssl pkcs12 -info -in server.pfx 

查看一个网站的证书信息

openssl s_client -connect host:port -showcerts

对私钥文件的加密和解密

解密一个已经加密过的私钥文件

openssl rsa -in keyin.txt -out keyout.txt

然后输入密码,就可以得到没有加密的keyout.txt文件。

加密一个私钥文件

openssl rsa -in keyin.txt -des -out keyout.txt -passout pass:[PASSWORD]

热门栏目