OpenSSL 完全指南：从基础到核心功能 – wiki基地

OpenSSL 完全指南：从基础到核心功能

引言：网络安全的基石

在当今高度互联的数字世界中，信息安全至关重要。无论是网上银行、电子商务、电子邮件通信还是远程访问，我们都依赖于强大的加密技术来保护敏感数据的机密性、完整性和真实性。在这个领域，OpenSSL 扮演着不可或缺的角色。它不仅仅是一个软件库，更是一个强大的命令行工具集，是现代网络安全基础设施的基石之一。

OpenSSL 是一个开源的、强大的、商业级的、功能齐全的工具包，实现了安全套接字层 (SSL v2/v3) 和传输层安全 (TLS v1.x) 网络协议以及相关的密码学标准。它由 C 语言编写，广泛应用于各种平台，为无数应用程序和服务提供了核心的加密和安全通信能力。从 Apache 和 Nginx 等流行的 Web 服务器，到 VPN、邮件服务器，再到各种嵌入式设备，OpenSSL 的身影无处不在。

本指南旨在全面而深入地介绍 OpenSSL，无论您是系统管理员、网络工程师、软件开发者，还是对网络安全感兴趣的技术爱好者，都能从中获益。我们将从最基础的密码学概念和 OpenSSL 的安装开始，逐步深入探讨其核心组件和强大的命令行工具，涵盖密钥生成、证书管理、数据加密解密、哈希计算、SSL/TLS 测试等关键功能，并结合实际用例进行演示。最终目标是让您不仅理解 OpenSSL 的工作原理，更能熟练地运用它来解决实际的安全问题。

第一部分：基础概念与准备

在深入 OpenSSL 的具体命令之前，理解一些核心概念是必要的。

密码学基础
- 对称加密 (Symmetric Encryption): 使用相同的密钥进行加密和解密。速度快，适合加密大量数据。常见的算法有 AES, DES, 3DES, ChaCha20。缺点是密钥分发困难。
- 非对称加密 (Asymmetric Encryption) / 公钥密码学 (Public Key Cryptography): 使用一对密钥：公钥和私钥。公钥可以公开分发，用于加密数据或验证签名；私钥必须保密，用于解密数据或创建签名。常见的算法有 RSA, DSA, ECC (椭圆曲线加密)。速度较慢，常用于密钥交换和数字签名。
- 哈希函数 (Hashing / Message Digests): 将任意长度的输入数据转换为固定长度的、唯一的输出（哈希值或摘要）。用于验证数据完整性。常见的算法有 MD5 (已不安全), SHA-1 (已不安全), SHA-256, SHA-512。哈希函数是单向的，无法从哈希值反推原文。
- 数字签名 (Digital Signatures): 结合非对称加密和哈希函数。发送方使用其私钥对数据的哈希值进行加密，生成签名。接收方使用发送方的公钥解密签名，得到哈希值，并独立计算接收到数据的哈希值，两者比对即可验证数据的来源（身份认证）和完整性（未被篡改）。
公钥基础设施 (PKI – Public Key Infrastructure)
PKI 是一套用于创建、管理、分发、使用、存储和撤销数字证书的策略、标准、硬件、软件和人员的集合。其核心组件包括：
- 数字证书 (Digital Certificate): 通常遵循 X.509 标准，将公钥与特定身份（如个人、服务器、组织）绑定。证书包含公钥、身份信息、有效期以及签发机构（CA）的数字签名。
- 证书颁发机构 (CA – Certificate Authority): 负责验证申请者身份并签发数字证书的可信第三方。根 CA 拥有自签名证书，构成信任链的起点。
- 证书签名请求 (CSR – Certificate Signing Request): 包含申请者公钥和身份信息的文件，用于向 CA 申请签发证书。
- 信任链 (Chain of Trust): 证书的验证路径。浏览器或系统信任一组根 CA 证书。服务器提供的证书如果是由受信任的根 CA 或其签发的中级 CA 签发的，则被认为是可信的。
SSL/TLS 协议
安全套接字层 (SSL) 及其后继者传输层安全 (TLS) 是在两个通信应用程序之间提供私密性和数据完整性的协议。它们位于应用层（如 HTTP, FTP）和传输层（TCP）之间。主要目标是：
- 加密: 确保数据在传输过程中不被窃听。
- 认证: 验证通信对方（通常是服务器，有时也验证客户端）的身份。
- 完整性: 确保数据在传输过程中未被篡改。
  SSL/TLS 通过一个称为“握手” (Handshake) 的过程协商加密算法、交换密钥并进行身份验证，之后建立安全的数据传输通道。
安装 OpenSSL
OpenSSL 通常预装在大多数 Linux 发行版和 macOS 中。可以通过以下命令检查：
bash openssl version
如果未安装或版本过旧：
- Linux (Debian/Ubuntu): sudo apt update && sudo apt install openssl
- Linux (CentOS/Fedora/RHEL): sudo dnf install openssl 或 sudo yum install openssl
- macOS (使用 Homebrew): brew install openssl (可能需要配置 PATH 才能使用 brew 安装的版本)
- Windows: 可以从官方认可的第三方构建网站（如 Shining Light Productions 或直接通过 Git for Windows/WSL 等环境）下载预编译的二进制文件。

第二部分：OpenSSL 命令行工具核心功能详解

OpenSSL 最常用的形式是其强大的命令行界面 (CLI) 工具 openssl。其基本语法结构为：
openssl <command> [subcommand] [options] [arguments]

下面我们将分类介绍其核心命令和功能：

对称加密与解密 (enc)
openssl enc 命令用于使用对称密码进行文件加密和解密。
- 常用选项:
  - -e: 加密模式 (默认)。
  - -d: 解密模式。
  - -in <filename>: 指定输入文件。
  - -out <filename>: 指定输出文件。
  - -aes-256-cbc: 指定加密算法 (例如 AES 256位，CBC 模式)。OpenSSL 支持多种算法，可通过 openssl list -cipher-algorithms 查看。
  - -k <password>: 直接在命令行提供密码 (不安全，会记录在历史中)。
  - -kfile <filename>: 从文件读取密码。
  - -pass pass:<password>: 另一种提供密码的方式。
  - -pbkdf2 (推荐): 使用 PBKDF2 密钥导出函数，增加破解难度。
  - -salt (默认启用): 添加盐值，使相同的明文和密码产生不同的密文。
- 示例:
  “`bash
  # 加密文件 data.txt 为 data.enc，使用 AES-256-CBC，提示输入密码
  openssl enc -aes-256-cbc -pbkdf2 -salt -in data.txt -out data.enc
  
  解密文件 data.enc 为 data.decrypted.txt，提示输入密码
  
  openssl enc -d -aes-256-cbc -pbkdf2 -in data.enc -out data.decrypted.txt
  “`
哈希计算/消息摘要 (dgst)
openssl dgst 命令用于计算文件的哈希值或消息摘要。
- 常用选项:
  - -sha256, -md5, -sha512, etc.: 指定哈希算法。可通过 openssl list -digest-algorithms 查看。
  - <filename>: 要计算哈希值的文件。
  - -hmac <key>: 计算 HMAC (基于密钥的哈希消息认证码)，提供完整性和认证。
  - -sign <private_key_file>: 使用私钥对摘要进行签名。
  - -verify <public_key_file>: 使用公钥验证签名。
  - -signature <signature_file>: 指定签名文件。
  - -keyform PEM|DER: 指定密钥文件格式。
- 示例:
  “`bash
  # 计算文件 document.pdf 的 SHA-256 哈希值
  openssl dgst -sha256 document.pdf
  
  计算文件 archive.zip 的 MD5 哈希值 (注意 MD5 不安全，仅作示例)
  
  openssl dgst -md5 archive.zip
  
  使用私钥 mykey.pem 对 file.txt 的 SHA-256 摘要进行签名，保存为 file.sig
  
  openssl dgst -sha256 -sign mykey.pem -out file.sig file.txt
  
  使用公钥 pubkey.pem 验证 file.sig 是否是 file.txt 的有效签名
  
  openssl dgst -sha256 -verify pubkey.pem -signature file.sig file.txt
  “`
生成非对称密钥对
生成公私钥对是非对称加密和数字签名的第一步。
- genpkey (推荐，更通用): 用于生成各种类型的私钥。
  - 常用选项:
    - -algorithm <alg>: 指定算法 (e.g., RSA, EC, DSA).
    - -out <private_key_file>: 输出私钥文件。
    - -pkeyopt <option>:<value>: 传递特定于算法的选项。
      - 对于 RSA: rsa_keygen_bits:2048 (或 4096)
      - 对于 EC: ec_paramgen_curve:P-256 (或 prime256v1, secp384r1 等)
    - -aes256 (或其他 -cipher): 使用指定算法加密输出的私钥文件，会提示输入密码。
  - 示例:
    “`bash
    # 生成 2048 位的 RSA 私钥，不加密
    openssl genpkey -algorithm RSA -out rsa_private.pem -pkeyopt rsa_keygen_bits:2048
    
    生成使用 P-256 曲线的 ECC 私钥，并用 AES-256 加密保护
    
    openssl genpkey -algorithm EC -out ec_private_encrypted.pem -pkeyopt ec_paramgen_curve:P-256 -aes256
    “`
- genrsa (传统，仅用于 RSA):
  - 常用选项:
    - -out <private_key_file>: 输出私钥文件。
    - [numbits]: 指定密钥位数 (e.g., 2048, 4096)。
    - -aes256 (或其他 -cipher): 加密私钥。
  - 示例:
    “`bash
    # 生成 2048 位的 RSA 私钥，不加密
    openssl genrsa -out rsa_private_legacy.pem 2048
    
    生成 4096 位的 RSA 私钥，并用 AES-256 加密保护
    
    openssl genrsa -aes256 -out rsa_private_legacy_encrypted.pem 4096
    “`
- 提取公钥: 从私钥文件中提取对应的公钥。
  “`bash
  # 从 RSA 私钥提取公钥
  openssl rsa -in rsa_private.pem -pubout -out rsa_public.pem
  
  从 ECC 私钥提取公钥
  
  openssl ec -in ec_private.pem -pubout -out ec_public.pem
  
  通用方法 (使用 pkey)
  
  openssl pkey -in private_key.pem -pubout -out public_key.pem
  “`
证书签名请求 (CSR) 管理 (req)
openssl req 命令用于创建和处理 CSR。
- 常用选项:
  - -new: 创建一个新的 CSR。
  - -key <private_key_file>: 指定用于生成 CSR 的私钥文件。
  - -out <csr_file>: 输出 CSR 文件名。
  - -subj <subject_string>: 直接在命令行提供主题信息 (Subject DN)，格式如 /C=CN/ST=Beijing/L=Beijing/O=MyOrg/OU=IT/CN=www.example.com/[email protected]。不推荐在生产环境直接用，易出错且记录在历史。
  - -config <config_file>: 使用指定的 OpenSSL 配置文件，可以预设主题信息、扩展等。
  - -nodes (No DES): 不加密私钥（如果同时生成新密钥）。
  - -sha256 (或其他摘要算法): 指定用于自签名（如果使用 -x509）或签名的摘要算法。
- 示例 (生成 CSR):
  “`bash
  # 为已有的私钥 rsa_private.pem 生成 CSR，交互式输入主题信息
  openssl req -new -key rsa_private.pem -out server.csr
  
  使用配置文件 myconfig.cnf 生成 CSR (配置文件中定义了主题和扩展)
  
  openssl req -new -key rsa_private.pem -out server_config.csr -config myconfig.cnf
  
  直接提供主题信息生成 CSR
  
  openssl req -new -key rsa_private.pem -out server_subj.csr -subj “/C=US/ST=California/L=San Francisco/O=My Company Inc./CN=test.mycompany.com”
  “`
- 检查 CSR 内容:
  bash openssl req -in server.csr -text -noout -verify # -text: 显示详细信息 # -noout: 不输出编码后的 CSR 本身 # -verify: 验证 CSR 中的签名
证书管理 (自签名与 CA)
- 生成自签名证书 (req -x509): 将 CSR 直接转换为证书，由其自身的私钥签名。适用于测试环境或内部不需公共信任的场景。
  “`bash
  # 基于现有私钥和 CSR 生成一个有效期 365 天的自签名证书
  openssl req -x509 -in server.csr -key rsa_private.pem -out self_signed_cert.pem -days 365 -sha256
  
  一步生成私钥和自签名证书 (会提示输入主题信息)
  
  openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out self_signed_cert.pem -days 365 -nodes -sha256 -subj “/C=CN/ST=GD/L=Shenzhen/O=Test Inc/CN=localhost”
  “`
- 作为简单 CA 签发证书 (ca): openssl ca 是一个相对复杂的命令，通常需要配合配置文件 (openssl.cnf) 来定义 CA 的策略、目录结构（存放证书、序列号、CRL 等）。
  - 基本流程:
    1. 设置 CA 环境：创建必要的目录 (certs, crl, newcerts, private)，创建索引文件 (index.txt) 和序列号文件 (serial)。
    2. 生成 CA 的根密钥和根证书（通常是自签名证书）。
    3. 配置 openssl.cnf 文件，指定 CA 目录、策略、默认天数等。
    4. 使用 openssl ca 命令签发由 CSR 提交的证书请求。
  - 示例 (简化流程，假设已有 CA 密钥 ca_key.pem 和 CA 证书 ca_cert.pem):
    “`bash
    # 签发 server.csr，生成 server_cert.pem，有效期 365 天，使用 CA 配置 myca.cnf
    # (myca.cnf 需要正确配置 [ca] 和 [CA_default] 段)
    openssl ca -config myca.cnf -in server.csr -out server_cert.pem -days 365 -extensions server_cert # 使用配置文件中定义的扩展
    
    需要确保 CA 的 index.txt 和 serial 文件已初始化
    
    touch index.txt
    
    echo ‘1000’ > serial (起始序列号)
    
    `` * **注意:** 运行一个安全的 CA 涉及严格的流程和安全措施，openssl ca` 只是提供了工具，生产环境 CA 通常使用更专业的软件。
证书/密钥检查与转换
- 检查证书 (x509):
  “`bash
  # 显示证书的文本信息 (主题, 颁发者, 有效期, 公钥, 扩展等)
  openssl x509 -in certificate.pem -text -noout
  
  查看证书的主题 (Subject)
  
  openssl x509 -in certificate.pem -subject -noout
  
  查看证书的颁发者 (Issuer)
  
  openssl x509 -in certificate.pem -issuer -noout
  
  查看证书的有效期
  
  openssl x509 -in certificate.pem -dates -noout
  
  查看证书的序列号
  
  openssl x509 -in certificate.pem -serial -noout
  
  查看证书的指纹 (SHA1, SHA256 等)
  
  openssl x509 -in certificate.pem -fingerprint -sha256 -noout
  
  验证证书是否由某个 CA 证书签发
  
  openssl verify -CAfile ca_cert.pem certificate.pem
  “`
- 检查私钥 (rsa, ec, pkey):
  “`bash
  # 检查 RSA 私钥信息，并验证一致性
  openssl rsa -in rsa_private.pem -check -text -noout
  
  检查 EC 私钥信息
  
  openssl ec -in ec_private.pem -text -noout
  
  通用检查 (适用于 RSA, EC, etc.)
  
  openssl pkey -in private_key.pem -text -noout
  
  检查私钥和证书是否匹配
  
  openssl rsa -modulus -noout -in rsa_private.pem | openssl sha256
  openssl x509 -modulus -noout -in certificate.pem | openssl sha256
  
  如果两者输出的哈希值相同，则匹配
  
  对于 ECC，比较公钥:
  
  openssl ec -pubout -in ec_private.pem | openssl sha256
  openssl x509 -pubkey -noout -in certificate.pem | openssl sha256
  “`
- 格式转换: OpenSSL 支持 PEM (Base64 编码，—–BEGIN…—–) 和 DER (二进制) 格式。
  “`bash
  # PEM (证书) -> DER
  openssl x509 -inform PEM -in certificate.pem -outform DER -out certificate.der
  
  DER (证书) -> PEM
  
  openssl x509 -inform DER -in certificate.der -outform PEM -out certificate.pem
  
  PEM (私钥) -> DER
  
  openssl rsa -inform PEM -in private.pem -outform DER -out private.der # 对 RSA
  openssl ec -inform PEM -in private.pem -outform DER -out private.der # 对 EC
  openssl pkey -inform PEM -in private.pem -outform DER -out private.der # 通用
  
  DER (私钥) -> PEM
  
  openssl rsa -inform DER -in private.der -outform PEM -out private.pem # 对 RSA
  
  …类似地用于 EC 和 pkey
  
  “`
- PKCS#12 (.pfx, .p12) 文件处理 (pkcs12): 这种格式通常用于在单个加密文件中捆绑私钥和证书链，常见于 Windows 环境。
  “`bash
  # 创建 PKCS#12 文件 (捆绑私钥和证书)
  openssl pkcs12 -export -out bundle.pfx -inkey private.pem -in certificate.pem -certfile ca_chain.pem # ca_chain.pem 包含中间 CA 和根 CA 证书
  # 会提示设置导出密码
  
  从 PKCS#12 文件提取私钥
  
  openssl pkcs12 -in bundle.pfx -nocerts -out private_extracted.pem -nodes # -nodes 表示不加密输出的私钥
  
  会提示输入导入密码
  
  从 PKCS#12 文件提取证书
  
  openssl pkcs12 -in bundle.pfx -clcerts -nokeys -out certificate_extracted.pem
  
  会提示输入导入密码
  
  从 PKCS#12 文件提取 CA 证书链
  
  openssl pkcs12 -in bundle.pfx -cacerts -nokeys -out ca_chain_extracted.pem
  
  会提示输入导入密码
  
  “`
SSL/TLS 客户端/服务器测试 (s_client, s_server)
- s_client (模拟客户端): 用于连接远程 SSL/TLS 服务器，检查其配置、证书和协议支持。
  - 常用选项:
    - -connect <host>:<port>: 指定要连接的服务器地址和端口。
    - -servername <hostname>: 用于 SNI (服务器名称指示)，对于同一 IP 托管多个 HTTPS 站点至关重要。
    - -showcerts: 显示服务器发送的完整证书链。
    - -cert <client_cert.pem> 和 -key <client_key.pem>: 用于客户端证书认证。
    - -CAfile <ca_bundle.pem> 或 -CApath <ca_dir>: 指定用于验证服务器证书的受信任 CA 证书。
    - -tls1_2, -tls1_3, -no_ssl3, etc.: 强制使用或禁用特定协议版本。
    - -cipher <cipher_suite_string>: 指定允许或优先使用的密码套件。
  - 示例:
    “`bash
    # 连接 www.google.com 的 443 端口，显示证书链，使用 SNI
    openssl s_client -connect www.google.com:443 -servername www.google.com -showcerts
    
    测试特定协议版本 (TLS 1.2)
    
    openssl s_client -connect example.com:443 -servername example.com -tls1_2
    
    使用自定义 CA 证书验证服务器证书
    
    openssl s_client -connect internal.server:443 -servername internal.server -CAfile internal_ca.pem
    “`
- s_server (模拟服务器): 启动一个简单的 SSL/TLS 服务器，用于测试客户端或调试。
  - 常用选项:
    - -accept <port>: 在指定端口监听连接。
    - -cert <server_cert.pem>: 服务器证书。
    - -key <server_key.pem>: 服务器私钥。
    - -CAfile <ca_bundle.pem>: 用于请求客户端证书认证时的 CA 列表。
    - -Verify <depth> 和 -verify_return_error: 要求并验证客户端证书。
    - -www: 响应简单的 HTTP 请求（发送证书信息）。
    - -tls1_2, -tls1_3, etc.: 启用特定协议版本。
  - 示例:
    “`bash
    # 启动一个监听 4433 端口的简单 TLS 服务器
    openssl s_server -accept 4433 -cert server_cert.pem -key server_key.pem -tls1_2 -www
    
    启动服务器并要求客户端证书认证
    
    openssl s_server -accept 8443 -cert server_cert.pem -key server_key.pem -CAfile client_ca.pem -Verify 1 -verify_return_error
    “`

第三部分：高级主题与最佳实践

编程接口 (libcrypto & libssl)
OpenSSL 不仅仅是命令行工具，其核心是两个库：
- libcrypto: 提供了通用的密码学功能，如对称/非对称加密、哈希、HMAC、随机数生成、大数运算、ASN.1 解析等。
- libssl: 实现了 SSL/TLS 协议，依赖于 libcrypto。
  开发者可以使用 C/C++（以及通过绑定在其他语言中）直接调用这些库的 API 来为应用程序添加加密和安全通信能力。这是 OpenSSL 最广泛的应用方式，但需要深入理解其 API 和内存管理。
配置文件 (openssl.cnf)
OpenSSL 的行为可以通过配置文件（通常是 openssl.cnf）进行定制。这个文件定义了许多默认设置，如：
- 默认的摘要算法和加密算法。
- CSR 生成时的默认主题信息和请求的扩展。
- openssl ca 命令的行为，包括 CA 目录结构、签名策略、证书有效期、扩展等。
- ASN.1 对象标识符 (OID) 的别名。
  理解和修改配置文件对于自动化任务和建立 CA 至关重要。文件通常位于 /etc/ssl/openssl.cnf 或 OpenSSL 安装目录下的 ssl 子目录。
随机数生成 (rand)
密码学的安全性严重依赖于高质量的随机数生成器 (RNG)。openssl rand 命令可以生成密码学安全的伪随机字节。
“`bash
# 生成 16 字节 (128 位) 的随机数，以十六进制输出
openssl rand -hex 16

生成 32 字节的随机数，以 Base64 编码输出

openssl rand -base64 32

将 1024 字节的随机数写入文件 random_data.bin

openssl rand -out random_data.bin 1024
`` 在编程时，应使用 OpenSSL 提供的 RNG API (RAND_bytes`)。
安全最佳实践
- 保持更新: OpenSSL 曾曝出过严重漏洞（如 Heartbleed）。务必及时更新到最新的稳定版本。
- 使用强算法和密钥长度: 避免使用已知不安全的算法（MD5, SHA-1, DES, RC4, SSLv3）。RSA 密钥至少 2048 位（推荐 3072 或 4096 位），ECC 使用 P-256 或更强的曲线。使用强密码套件，优先考虑支持前向保密 (Forward Secrecy) 的套件。
- 保护私钥: 私钥的泄露意味着安全体系的彻底崩溃。务必使用强密码加密私钥文件，并严格控制其访问权限。考虑使用硬件安全模块 (HSM) 存储关键私钥。
- 正确配置 TLS: 禁用不安全的协议版本 (SSLv2, SSLv3, TLSv1.0, TLSv1.1)。启用 HSTS (HTTP Strict Transport Security)。正确配置证书链。
- 理解证书有效期和吊销: 定期更新证书，并了解如何处理证书吊销（CRL 或 OCSP）。
- 验证输入和输出: 在处理来自外部的数据（如证书、CSR）时，务必进行严格的验证。

结论：掌握 OpenSSL，驾驭网络安全

OpenSSL 是一个极其强大和灵活的工具集，是理解和实践现代网络安全技术不可或缺的一环。从基本的加密解密、哈希计算，到复杂的 PKI 操作、证书管理，再到 SSL/TLS 连接的建立与测试，OpenSSL 几乎涵盖了日常安全运维和开发所需的方方面面。

本指南尝试提供了一个从基础到核心功能的全面概览，并通过示例展示了其常用命令的用法。然而，OpenSSL 的功能远不止于此，每个命令通常都有大量选项以应对各种复杂场景。要真正精通 OpenSSL，需要不断实践，并深入阅读其官方文档 (man openssl, man <command>)。

掌握 OpenSSL，意味着您拥有了一把解开网络安全诸多谜题的钥匙。无论是保护 Web 服务器、确保 API 通信安全、管理内部 PKI，还是进行安全审计和故障排查，OpenSSL 都将是您工具箱中不可或缺的利器。希望本指南能为您在学习和使用 OpenSSL 的道路上提供坚实的基础和有力的支持。网络安全之路漫长，而 OpenSSL 正是这条路上值得信赖的伙伴。

解密文件 data.enc 为 data.decrypted.txt，提示输入密码

计算文件 archive.zip 的 MD5 哈希值 (注意 MD5 不安全，仅作示例)

使用私钥 mykey.pem 对 file.txt 的 SHA-256 摘要进行签名，保存为 file.sig

使用公钥 pubkey.pem 验证 file.sig 是否是 file.txt 的有效签名

生成使用 P-256 曲线的 ECC 私钥，并用 AES-256 加密保护

生成 4096 位的 RSA 私钥，并用 AES-256 加密保护

从 ECC 私钥提取公钥

通用方法 (使用 pkey)

使用配置文件 myconfig.cnf 生成 CSR (配置文件中定义了主题和扩展)

直接提供主题信息生成 CSR

一步生成私钥和自签名证书 (会提示输入主题信息)

需要确保 CA 的 index.txt 和 serial 文件已初始化

touch index.txt

echo ‘1000’ > serial (起始序列号)

查看证书的主题 (Subject)

查看证书的颁发者 (Issuer)

查看证书的有效期

查看证书的序列号

查看证书的指纹 (SHA1, SHA256 等)

验证证书是否由某个 CA 证书签发

检查 EC 私钥信息

通用检查 (适用于 RSA, EC, etc.)

检查私钥和证书是否匹配

如果两者输出的哈希值相同，则匹配

对于 ECC，比较公钥:

DER (证书) -> PEM

PEM (私钥) -> DER

DER (私钥) -> PEM

…类似地用于 EC 和 pkey

从 PKCS#12 文件提取私钥

会提示输入导入密码

从 PKCS#12 文件提取证书

会提示输入导入密码

从 PKCS#12 文件提取 CA 证书链

会提示输入导入密码

测试特定协议版本 (TLS 1.2)

使用自定义 CA 证书验证服务器证书

启动服务器并要求客户端证书认证

生成 32 字节的随机数，以 Base64 编码输出

将 1024 字节的随机数写入文件 random_data.bin

发表评论 取消回复

发表评论取消回复