Linux系統安全之openssl命令解析【每日一個知識點第88期-Linux】

服務器安全是一個值得慎重討論的話題,作為服務器的Linux也有許多手段來確保服務器數據和網絡的安全性。今天開始,我們來盤點Linux系統中的安全相關命令,首先要介紹的是openssl命令。


【88期主題】Linux系統安全之openssl命令解析

OpenSSL是一個強大的安全套接字層密碼庫,囊括主要的密碼算法、常用的密鑰和證書封裝管理功能及SSL協議,并提供豐富的應用程序供測試或其它目的使用。在OpenSSL被曝出現嚴重安全漏洞后,發現多數通過SSL協議加密的網站使用名為OpenSSL的開源軟件包。由于這是互聯網應用最廣泛的安全傳輸方法,被網銀、在線支付、電商網站、門戶網站、電子郵件等重要網站廣泛使用,所以該漏洞影響范圍廣大。

OpenSSL有兩種運行模式:交互模式和批處理模式。

直接輸入openssl回車進入交互模式,輸入帶命令選項的openssl進入批處理模式。

OpenSSL整個軟件包大概可以分成三個主要的功能部分:密碼算法庫、SSL協議庫以及應用程序。OpenSSL的目錄結構自然也是圍繞這三個功能部分進行規劃的。

對稱加密算法

OpenSSL一共提供了8種對稱加密算法,其中7種是分組加密算法,僅有的一種流加密算法是RC4。這7種分組加密算法分別是AES、DES、Blowfish、CAST、IDEA、RC2、RC5,都支持電子密碼本模式(ECB)、加密分組鏈接模式(CBC)、加密反饋模式(CFB)和輸出反饋模式(OFB)四種常用的分組密碼加密模式。其中,AES使用的加密反饋模式(CFB)和輸出反饋模式(OFB)分組長度是128位,其它算法使用的則是64位。事實上,DES算法里面不僅僅是常用的DES算法,還支持三個密鑰和兩個密鑰3DES算法。

非對稱加密算法

OpenSSL一共實現了4種非對稱加密算法,包括DH算法、RSA算法、DSA算法和橢圓曲線算法(EC)。DH算法一般用戶密鑰交換。RSA算法既可以用于密鑰交換,也可以用于數字簽名,當然,如果你能夠忍受其緩慢的速度,那么也可以用于數據加密。DSA算法則一般只用于數字簽名。

信息摘要算法

OpenSSL實現了5種信息摘要算法,分別是MD2、MD5、MDC2、SHA(SHA1)和RIPEMD。SHA算法事實上包括了SHA和SHA1兩種信息摘要算法,此外,OpenSSL還實現了DSS標準中規定的兩種信息摘要算法DSS和DSS1。

密鑰和證書管理

密鑰和證書管理是PKI的一個重要組成部分,OpenSSL為之提供了豐富的功能,支持多種標準。

首先,OpenSSL實現了ASN.1的證書和密鑰相關標準,提供了對證書、公鑰、私鑰、證書請求以及CRL等數據對象的DER、PEM和BASE64的編解碼功能。OpenSSL提供了產生各種公開密鑰對和對稱密鑰的方法、函數和應用程序,同時提供了對公鑰和私鑰的DER編解碼功能。并實現了私鑰的PKCS#12和PKCS#8的編解碼功能。OpenSSL在標準中提供了對私鑰的加密保護功能,使得密鑰可以安全地進行存儲和分發。

在此基礎上,OpenSSL實現了對證書的X.509標準編解碼、PKCS#12格式的編解碼以及PKCS#7的編解碼功能。并提供了一種文本數據庫,支持證書的管理功能,包括證書密鑰產生、請求產生、證書簽發、吊銷和驗證等功能。

事實上,OpenSSL提供的CA應用程序就是一個小型的證書管理中心(CA),實現了證書簽發的整個流程和證書管理的大部分機制。

實例

1、消息摘要算法應用例子

用SHA1算法計算文件file.txt的哈西值,輸出到stdout:

# openssl dgst -sha1 file.txt

用SHA1算法計算文件file.txt的哈西值,輸出到文件digest.txt:

# openssl sha1 -out digest.txt file.txt

用DSS1(SHA1)算法為文件file.txt簽名,輸出到文件dsasign.bin。簽名的private key必須為DSA算法產生的,保存在文件dsakey.pem中。

# openssl dgst -dss1 -sign dsakey.pem -out dsasign.bin file.txt

用dss1算法驗證file.txt的數字簽名dsasign.bin,驗證的private key為DSA算法產生的文件dsakey.pem。

# openssl dgst -dss1 -prverify dsakey.pem -signature dsasign.bin file.txt

用sha1算法為文件file.txt簽名,輸出到文件rsasign.bin,簽名的private key為RSA算法產生的文件rsaprivate.pem。

# openssl sha1 -sign rsaprivate.pem -out rsasign.bin file.txt

# 用sha1算法驗證file.txt的數字簽名rsasign.bin,驗證的public key為RSA算法生成的rsapublic.pem。

# openssl sha1 -verify rsapublic.pem -signature rsasign.bin file.txt

2、對稱加密應用例子

對稱加密應用例子,用DES3算法的CBC模式加密文件plaintext.doc,加密結果輸出到文件ciphertext.bin。

# openssl enc -des3 -salt -in plaintext.doc -out ciphertext.bin

用DES3算法的OFB模式解密文件ciphertext.bin,提供的口令為trousers,輸出到文件plaintext.doc。注意:因為模式不同,該命令不能對以上的文件進行解密。

# openssl enc -des-ede3-ofb -d -in ciphertext.bin -out plaintext.doc -pass pass:trousers

用Blowfish的CFB模式加密plaintext.doc,口令從環境變量PASSWORD中取,輸出到文件ciphertext.bin。

# openssl bf-cfb -salt -in plaintext.doc -out ciphertext.bin -pass env:PASSWORD

給文件ciphertext.bin用base64編碼,輸出到文件base64.txt。

# openssl base64 -in ciphertext.bin -out base64.txt

用RC5算法的CBC模式加密文件plaintext.doc,輸出到文件ciphertext.bin,salt、key和初始化向量(iv)在命令行指定。

# openssl rc5 -in plaintext.doc -out ciphertext.bin -S C62CB1D49F158ADC -iv E9EDACA1BD7090C6 -K 89D4B1678D604FAA3DBFFD030A314B29

3、Diffie-Hellman應用例子

使用生成因子2和隨機的1024-bit的素數產生D0ffie-Hellman參數,輸出保存到文件dhparam.pem

# openssl dhparam -out dhparam.pem -2 1024

從dhparam.pem中讀取Diffie-Hell參數,以C代碼的形式,輸出到stdout。

# openssl dhparam -in dhparam.pem -noout -C

4、DSA應用例子應用例子

生成1024位DSA參數集,并輸出到文件dsaparam.pem。

# openssl dsaparam -out dsaparam.pem 1024

使用參數文件dsaparam.pem生成DSA私鑰匙,采用3DES加密后輸出到文件dsaprivatekey.pem

# openssl gendsa -out dsaprivatekey.pem -des3 dsaparam.pem

使用私鑰匙dsaprivatekey.pem生成公鑰匙,輸出到dsapublickey.pem

# openssl dsa -in dsaprivatekey.pem -pubout -out dsapublickey.pem

從dsaprivatekey.pem中讀取私鑰匙,解密并輸入新口令進行加密,然后寫回文件dsaprivatekey.pem

# openssl dsa -in dsaprivatekey.pem -out dsaprivatekey.pem -des3 -passin

5、RSA應用例子

產生1024位RSA私匙,用3DES加密它,口令為trousers,輸出到文件rsaprivatekey.pem

# openssl genrsa -out rsaprivatekey.pem -passout pass:trousers -des3 1024

從文件rsaprivatekey.pem讀取私匙,用口令trousers解密,生成的公鑰匙輸出到文件rsapublickey.pem

# openssl rsa -in rsaprivatekey.pem -passin pass:trousers -pubout -out rsapubckey.pem

用公鑰匙rsapublickey.pem加密文件plain.txt,輸出到文件cipher.txt

# openssl rsautl -encrypt -pubin -inkey rsapublickey.pem -in plain.txt -out cipher.txt

使用私鑰匙rsaprivatekey.pem解密密文cipher.txt,輸出到文件plain.txt

# openssl rsautl -decrypt -inkey rsaprivatekey.pem -in cipher.txt -out plain.txt

用私鑰匙rsaprivatekey.pem給文件plain.txt簽名,輸出到文件signature.bin

# openssl rsautl -sign -inkey rsaprivatekey.pem -in plain.txt -out signature.bin

用公鑰匙rsapublickey.pem驗證簽名signature.bin,輸出到文件plain.txt

# openssl rsautl -verify -pubin -inkey rsapublickey.pem -in signature.bin -out plain

從X.509證書文件cert.pem中獲取公鑰匙,用3DES加密mail.txt,輸出到文件mail.enc

# openssl smime -encrypt -in mail.txt -des3 -out mail.enc cert.pem

從X.509證書文件cert.pem中獲取接收人的公鑰匙,用私鑰匙key.pem解密S/MIME消息mail.enc,結果輸出到文件mail.txt

# openssl smime -decrypt -in mail.enc -recip cert.pem -inkey key.pem -out mail.txt

cert.pem為X.509證書文件,用私匙key,pem為mail.txt簽名,證書被包含在S/MIME消息中,輸出到文件mail.sgn

# openssl smime -sign -in mail.txt -signer cert.pem -inkey key.pem -out mail.sgn

驗證S/MIME消息mail.sgn,輸出到文件mail.txt,簽名者的證書應該作為S/MIME消息的一部分包含在mail.sgn中

# openssl smime -verify -in mail.sgn -out mail.txt

《Linux學習每日一個知識點》欄目是馬哥教育Linux云計算年薪20萬+的學員社群特別發起,分享Linux工具、Linux語法、Linux項目等知識點,幫助大家快速的了解Linux學習,快速步入Linux高薪的快車道。

【超全整理】《Linux云計算從入門到精通》linux學習入門教程系列實戰筆記全放送

相關新聞

聯系我們

400-080-6560

在線咨詢:點擊這里給我發消息

郵件:[email protected]

工作時間:周一至周日,09:00-18:30

QR code
云南快乐10分开奖直播