Windows 系统 OpenSSL 配置指南 – wiki基地

作者： /

Windows 系统 OpenSSL 配置指南：从安装到高级配置

OpenSSL 是一个强大、开源的加密工具包，广泛应用于互联网安全、数据加密、数字证书管理等领域。它实现了 SSL (Secure Sockets Layer) 和 TLS (Transport Layer Security) 协议，并提供了丰富的命令行工具，用于生成密钥对、管理证书、进行数据加密解密、哈希计算等操作。

尽管 OpenSSL 主要在 Linux/Unix 环境下被广泛使用，但它在 Windows 系统中同样重要且应用广泛。许多 Windows 上的开发工具、服务器软件（如 Apache、Nginx、甚至某些版本的 IIS 需要通过 ISAPI 模块间接使用）、以及各种需要加密功能的应用程序都依赖于 OpenSSL 库。对于开发者、系统管理员或需要进行特定安全操作的 Windows 用户来说，正确安装和配置 OpenSSL 是必不可少的一步。

本文将详细介绍如何在 Windows 系统上安装、配置和验证 OpenSSL，并深入探讨其核心配置文件 openssl.cnf 的常见设置及其作用，帮助您充分发挥 OpenSSL 的潜力。

第一部分：OpenSSL 在 Windows 上的安装

与 Linux/Unix 系统不同，OpenSSL 官方网站 (www.openssl.org) 不提供 预编译的 Windows 二进制安装包。这是因为构建 OpenSSL 需要处理各种编译选项和依赖关系，官方希望用户自行根据需要编译，或者从第三方获取已编译好的版本。

这意味着在 Windows 上安装 OpenSSL，我们通常有以下几种途径：

  1. 使用第三方提供的预编译二进制安装包 (推荐)：这是最简单、最快捷的方式，适合绝大多数用户。需要注意的是，务必从可信赖的第三方来源下载。
  2. 通过包管理器安装：如果您使用 Chocolatey 或 Scoop 等 Windows 包管理器，可以通过简单的命令安装。
  3. 从源代码编译：这是最复杂的方式，需要安装编译环境 (如 Visual Studio 或 MinGW)，适合需要特定配置或最新开发版本的用户。

下面详细介绍前两种常用方法：

方法一：使用第三方提供的预编译二进制安装包

这是最常用的方法。有几个比较知名的第三方提供 Windows 版 OpenSSL 二进制文件：

  • Shining Light Productions: 提供相对官方且更新较快的版本，通常有 32位和 64位版本。访问其网站 (通常是 www.slproweb.com/products/Win32OpenSSL.html)。
  • OpenSSL for Windows (GitHub 或 SourceForge): 也有一些项目在 GitHub 或 SourceForge 上提供编译好的版本。在使用前请务必检查项目的活跃度和信誉。

步骤：

  1. 访问可信赖的第三方网站: 前往 Shining Light Productions 或其他信誉良好的第三方网站。
  2. 选择合适的版本:
    • 根据您的 Windows 系统架构 (32位或 64位) 选择对应的安装包。如果您不确定，通常选择 64位版本即可，除非您有特定的 32位应用依赖。
    • 根据需要选择 OpenSSL 的版本号。通常选择最新的稳定版本。
    • 注意文件名可能包含 Win64OpenSSL_ 版本号.exe 或 Win32OpenSSL_ 版本号.exe。有时还会看到带有 -Light 后缀的版本，这些版本不包含静态库和开发头文件，如果您只需要运行 OpenSSL 命令或其动态库，-Light 版本会更小。如果您是开发者，需要静态库或头文件，请下载完整版。
  3. 下载安装包: 下载选定的 .exe 安装文件。
  4. 运行安装程序: 双击下载的 .exe 文件开始安装。
    • 同意许可协议。
    • 选择安装目录: 非常重要！ 默认目录可能在 Program Files 或 Program Files (x86) 下。建议选择一个没有空格且路径较短的目录，例如 C:\OpenSSL-Win64 或 D:\OpenSSL。这样做可以避免一些潜在的路径问题。
    • 选择安装组件: 如果是完整版安装包，通常会提供安装文档、静态库、动态库、可执行文件等选项。确保选择了 “The OpenSSL binaries” (OpenSSL 可执行文件)。如果您是开发者，还需要选择 “The OpenSSL development files” (OpenSSL 开发文件)。
    • 选择拷贝 OpenSSL DLLs 到: 这是安装过程中的一个关键选项。
      • “The OpenSSL binaries directory (recommended)” (推荐): 将 DLL 文件拷贝到 OpenSSL 的 bin 目录下。这是最常见且推荐的方式，因为它保持了文件的集中管理，并且配合后续的 PATH 环境变量配置可以很容易使用。
      • “The Windows system directory”: 将 DLL 文件拷贝到 C:\Windows\System32 (或 SysWOW64)。不推荐！ 这样做容易引起 DLL 冲突和版本混乱问题，尤其当系统中存在多个依赖不同 OpenSSL 版本的应用程序时。
    • 完成安装。

方法二：通过包管理器安装 (如 Chocolatey 或 Scoop)

如果您习惯使用包管理器，这是一个非常便捷的方式。

使用 Chocolatey:

  1. 确保已安装 Chocolatey (参考 Chocolatey 官网安装指南)。
  2. 打开命令提示符或 PowerShell (以管理员身份运行)。
  3. 执行安装命令：
    bash
    choco install openssl
  4. Chocolatey 会自动下载、安装 OpenSSL，并通常会处理好 PATH 环境变量。

使用 Scoop:

  1. 确保已安装 Scoop (参考 Scoop 官网安装指南)。
  2. 打开 PowerShell。
  3. 执行安装命令：
    powershell
    scoop install openssl
  4. Scoop 会将 OpenSSL 安装在其管理目录下，并自动配置环境变量。

优点: 安装简单，更新方便，包管理器通常会处理好依赖和环境变量。
缺点: 依赖于第三方维护的包，可能不如手动安装灵活。

第二部分：OpenSSL 的基本配置 (环境变量)

安装完成后，为了能在任何目录下方便地运行 OpenSSL 命令 (openssl) 并确保 OpenSSL 能够找到其配置文件 (openssl.cnf) 和库文件，需要进行基本的配置，主要是设置环境变量。

1. 配置 PATH 环境变量

将 OpenSSL 可执行文件所在的目录 (bin 目录) 添加到系统的 PATH 环境变量中。这样，您就可以在命令提示符或 PowerShell 中直接输入 openssl 命令而无需指定完整路径。

步骤 (适用于 Windows 10/11，其他版本类似):

  1. 右键点击“此电脑”或“计算机”，选择“属性”。
  2. 点击左侧的“高级系统设置”。
  3. 在弹出的“系统属性”窗口中，点击“高级”选项卡下的“环境变量”按钮。
  4. 在“系统变量”或“用户变量”区域（推荐在用户变量，除非需要全局可用）找到名为 Path 的变量。
  5. 选中 Path 变量，点击“编辑”。
  6. 点击“新建”，然后输入 OpenSSL 安装目录下的 bin 文件夹的完整路径。例如，如果您将 OpenSSL 安装在 C:\OpenSSL-Win64，则输入 C:\OpenSSL-Win64\bin。
  7. 点击“确定”保存所有更改，直到关闭所有属性窗口。
  8. 重要: 打开一个新的命令提示符或 PowerShell 窗口。在旧窗口中进行的变量更改可能不会立即生效。

2. 配置 OPENSSL_CONF 环境变量 (可选但推荐)

OPENSSL_CONF 环境变量告诉 OpenSSL 到哪里查找其主配置文件 openssl.cnf。虽然 OpenSSL 在没有设置此变量时会尝试在一些默认位置查找 (如安装目录的 ssl 子目录)，但明确设置 OPENSSL_CONF 可以确保 OpenSSL 始终使用您期望的配置文件，尤其是在您移动了配置文件或系统中存在多个 OpenSSL 版本时。

openssl.cnf 文件通常位于 OpenSSL 安装目录下的 ssl 文件夹中。例如，如果 OpenSSL 安装在 C:\OpenSSL-Win64，则配置文件路径可能是 C:\OpenSSL-Win64\ssl\openssl.cnf。

步骤：

  1. 按照配置 PATH 变量的类似步骤，打开“环境变量”窗口。
  2. 在“系统变量”或“用户变量”区域，点击“新建”。
  3. 变量名输入：OPENSSL_CONF
  4. 变量值输入 openssl.cnf 文件的完整路径。例如：C:\OpenSSL-Win64\ssl\openssl.cnf
  5. 点击“确定”保存更改。
  6. 打开一个新的命令提示符或 PowerShell 窗口来验证。

3. 配置 SSL_CERT_DIR 和 SSL_CERT_FILE 环境变量 (可选)

这两个变量用于指定 OpenSSL 在作为 TLS 客户端或服务器时查找信任的 CA (Certificate Authority) 证书的位置。

  • SSL_CERT_DIR: 指定一个目录，该目录下包含了一系列信任的 CA 证书文件。OpenSSL 会扫描此目录。每个证书文件通常以其 subject name 的哈希值作为文件名，并以 .0 结尾。
  • SSL_CERT_FILE: 指定一个单一文件，该文件包含了一个或多个 PEM 格式的信任 CA 证书的集合 (通常是一个 CA Bundle 文件)。

在 Windows 上，由于系统本身有自己的证书信任库，OpenSSL 默认不使用它。如果您需要 OpenSSL 在执行某些操作时信任特定的 CA (例如连接到一个使用自定义或企业内部 CA 签发证书的服务器)，可以设置这些变量指向包含这些 CA 证书的目录或文件。

步骤：

  1. 获取或创建包含信任 CA 证书的文件或目录。一个常见做法是将所有信任的 CA 证书合并到一个 PEM 文件中。
  2. 按照配置 PATH 变量的类似步骤，打开“环境变量”窗口。
  3. 在“系统变量”或“用户变量”区域，点击“新建”。
  4. 如果使用目录，变量名输入 SSL_CERT_DIR，变量值输入目录路径。
  5. 如果使用文件，变量名输入 SSL_CERT_FILE，变量值输入文件路径。
  6. 点击“确定”保存更改。
  7. 打开新的命令提示符或 PowerShell 窗口。

第三部分：验证安装和基本配置

完成安装和环境变量配置后，进行验证以确保一切正常。

  1. 打开一个新的命令提示符或 PowerShell 窗口。

  2. 输入命令：
    bash
    openssl version
    如果 OpenSSL 已正确安装且 PATH 变量配置正确，您应该会看到 OpenSSL 的版本信息和构建信息，例如：
    OpenSSL 3.0.9 30 May 2023 (Library: OpenSSL 3.0.9 30 May 2023)
    That's not good!
    (注意：最后的 “That’s not good!” 可能是某些特定构建版本的信息，不用在意，主要看版本号)

  3. 输入命令验证配置文件路径：
    bash
    openssl version -d
    此命令会显示 OpenSSL 在编译时或运行时查找配置文件的默认目录。如果 OPENSSL_CONF 变量已设置，这个输出可能就没有那么重要，因为 OPENSSL_CONF 优先级更高。但它可以帮助您了解 OpenSSL 的内置默认行为。

  4. 尝试执行一个简单的 OpenSSL 命令来验证其功能和配置文件的加载 (如果配置了 OPENSSL_CONF):
    bash
    openssl req -newkey rsa:2048 -nodes -keyout temp.key -out temp.csr
    这个命令会生成一个新的 RSA 私钥 (temp.key) 和一个证书签名请求 (temp.csr)。在生成 CSR 时，OpenSSL 会提示您输入一些信息 (国家、省份、组织等)。如果 openssl.cnf 中的 [ req_distinguished_name ] 部分配置了默认值，这里可能会显示这些默认值，验证了配置文件的加载。按照提示填写信息（或直接回车接受默认值），完成操作。检查当前目录是否生成了 temp.key 和 temp.csr 文件。

如果上述步骤都能成功执行，说明 OpenSSL 已在您的 Windows 系统上成功安装并进行了基本配置。

第四部分：深入理解和配置 openssl.cnf

openssl.cnf 文件是 OpenSSL 的核心配置文件，它允许您定义各种默认行为、证书策略、扩展信息等。理解和修改这个文件对于自动化任务、建立私有 CA、或定制证书内容非常重要。

openssl.cnf 文件使用类似于 INI 文件的格式，由不同的 Section (节) 组成，每个 Section 包含多个 key = value 对。Section 名称用方括号 [ section_name ] 括起来。井号 # 开头是注释行。

重要 Sections 及其常见配置：

  1. [ req ] Section:

    • 这个 Section 定义了证书请求 (CSR) 和自签名证书生成的默认行为。
    • default_bits = 2048: 定义生成密钥时的默认位数（强度）。常见值有 2048, 4096。位数越高越安全，但生成和处理速度会变慢。
    • default_md = sha256: 定义生成签名时使用的默认摘要算法。推荐使用 SHA-256 或更高版本 (sha384, sha512)。不要使用 SHA-1 (sha1) 或 MD5 (md5)，它们已被证明不安全。
    • default_keyfile = privkey.pem: 定义生成私钥时的默认文件名。
    • distinguished_name = req_distinguished_name: 指向定义证书主体信息 (DN) 的 Section。通常指向 [ req_distinguished_name ]。
    • attributes = req_attributes: 指向定义 CSR 属性 (如挑战密码) 的 Section。
    • x509_extensions = v3_req: 指向定义自签名证书 V3 扩展的 Section。
    • prompt = no: 如果设置为 no，在生成 CSR 或自签名证书时，OpenSSL 会直接使用 [ req_distinguished_name ] 和 [ req_attributes ] 中定义的默认值，而不会提示用户输入。如果设置为 yes，则会提示用户，并将默认值作为建议显示。
    • encrypt_key = yes: 如果设置为 yes (默认)，生成的私钥会使用密码加密。设置为 no 则生成未加密的私钥（方便自动化，但不安全）。

  2. [ req_distinguished_name ] Section:

    • 定义证书主体信息 (DN) 的默认值和提示文本。这部分配置直接影响生成 CSR 或自签名证书时需要填写的信息。

    • 例如：
      “`ini
      countryName_default = CN
      stateOrProvinceName_default = Guangdong
      localityName_default = Shenzhen
      organizationName_default = My Company
      organizationalUnitName_default = IT Dept
      commonName_default = example.com
      emailAddress_default = [email protected]

      您也可以定制提示文本 (可选)

      countryName_value = 国家 (2字母代码)

      stateOrProvinceName_value = 省份或州

      localityName_value = 城市

      organizationName_value = 组织名称

      organizationalUnitName_value = 组织单位名称

      commonName_value = 通用名称 (域名或名称)

      emailAddress_value = 邮箱地址

      ``
      * 修改这些      _default` 值可以大大简化证书生成过程，尤其是在自动化脚本中。

  3. [ ca ] Section:

    • 这个 Section 用于配置 OpenSSL 作为简单的 Certificate Authority (CA) 的行为。它定义了 CA 的工作目录、数据库文件、证书序列号文件、CRL (证书吊销列表) 文件等。
    • default_ca = CA_default: 指向实际定义 CA 参数的 Section，通常是 [ CA_default ]。

  4. [ CA_default ] Section:

    • 这是定义具体 CA 参数的核心 Section。
    • dir = ./demoCA: CA 的工作目录。所有 CA 相关的文件 (证书、密钥、CRL、数据库等) 都将存放在这个目录下。在实际使用前，您需要创建这个目录及其子目录 (如 certs, crl, newcerts) 并初始化必要的文件 (index.txt, serial)。
    • certs = $dir/certs: 存放已签发证书的目录。
    • crl = $dir/crl: 存放 CRL 文件的目录。
    • new_certs_dir = $dir/newcerts: 存放新签发证书的目录。
    • database = $dir/index.txt: CA 的数据库文件，记录所有签发、吊销的证书信息。
    • serial = $dir/serial: 存放下一个证书的序列号的文件。
    • crlnumber = $dir/crlnumber: 存放下一个 CRL 的编号的文件。
    • private_key = $dir/private/ca.key.pem: CA 的私钥文件路径。
    • certificate = $dir/certs/ca.cert.pem: CA 的证书文件路径。
    • RANDFILE = $dir/private/.rand: 随机数种子文件路径。
    • policy = policy_strict: 定义 CA 签发证书时遵循的策略，通常指向 [ policy_strict ] 或 [ policy_loose ] Section。
    • default_days = 365: 新签发证书的默认有效期 (天)。
    • default_crl_days = 30: CRL 的默认有效期 (天)。
    • default_md = sha256: 签发证书时使用的默认摘要算法。
    • preserve = no: 是否保留 CSR 文件中的 DN 顺序。
    • x509_extensions = usr_cert: 指向定义用户证书 V3 扩展的 Section。
    • crl_extensions = crl_ext: 指向定义 CRL 扩展的 Section。

  5. [ policy_strict ] 和 [ policy_loose ] Sections:

    • 定义 CA 签发证书时对 CSR 中主体信息的要求。
    • policy_strict: 要求 CSR 中的国家、省份、组织等字段必须与 CA 证书中的对应字段匹配 (match)，并且不能省略 (supplied)。通常用于更严格的 CA 策略。
    • policy_loose: 对 CSR 中的字段要求较少，可能只要求某些字段必须提供 (supplied)，而其他字段可以任意填写 (optional) 或与 CA 匹配 (match)。
    • 例如：
      ini
      [ policy_strict ]
      countryName = match
      stateOrProvinceName = match
      organizationName = match
      organizationalUnitName = optional
      commonName = supplied
      emailAddress = optional

  6. [ v3_req ] Section:

    • 定义自签名证书或 CSR 中包含的 V3 扩展信息。
    • basicConstraints = CA:FALSE: 表明这是一个终端用户证书，不是 CA 证书。
    • keyUsage = nonRepudiation, digitalSignature, keyEncipherment: 定义密钥的用途。
    • subjectAltName = @alt_names: 指向定义主题备用名称 (SAN) 的 Section，常用于一个证书保护多个域名或 IP 地址。

  7. [ usr_cert ] Section:

    • 定义 CA 为用户签发证书时添加的 V3 扩展信息。通常与 [ v3_req ] 类似，但可能包含更多的约束。
    • basicConstraints = CA:FALSE
    • authorityKeyIdentifier = keyid,issuer
    • subjectKeyIdentifier = hash
    • keyUsage = digitalSignature, nonRepudiation, keyEncipherment
    • extendedKeyUsage = serverAuth, clientAuth: 定义扩展密钥用途，例如用于 TLS 服务器认证 (serverAuth) 或客户端认证 (clientAuth)。
    • subjectAltName = @alt_names: 同样可以包含 SAN 扩展。

  8. [ alt_names ] Section:

    • 定义主题备用名称 (SAN)。可以包含 DNS 名称、IP 地址、Email 地址等。
    • 例如：
      ini
      [ alt_names ]
      DNS.1 = example.com
      DNS.2 = www.example.com
      IP.1 = 192.168.1.1
      email.1 = [email protected]

修改 openssl.cnf 的注意事项：

  • 在修改前，务必备份原始文件。
  • 使用文本编辑器打开文件（如 Notepad++, VS Code 等，避免使用 Windows 自带的记事本，因为它在处理换行符时可能引入问题）。
  • 小心修改，确保语法正确 (Section 名称、key = value 格式)。
  • 修改后，保存文件。如果使用了 OPENSSL_CONF 环境变量，OpenSSL 会自动加载新的配置。如果没有设置，请确保文件位于 OpenSSL 查找配置文件的默认位置。
  • 在新的命令提示符或 PowerShell 窗口中测试配置是否生效。

第五部分：常见问题与故障排除

  1. “openssl” 不是内部或外部命令…

    • 原因: OpenSSL 可执行文件所在的 bin 目录未添加到 PATH 环境变量中，或者添加后没有打开新的命令窗口。
    • 解决: 检查并修改 PATH 环境变量，然后打开新的命令提示符或 PowerShell 窗口。

  2. “WARNING: can’t open config file: …”

    • 原因: OpenSSL 无法找到 openssl.cnf 配置文件。这可能是因为 OPENSSL_CONF 环境变量指向的路径不正确，或者文件不在 OpenSSL 默认查找的位置，或者文件不存在/被移动。
    • 解决:
      • 检查 OPENSSL_CONF 环境变量是否设置正确，指向 openssl.cnf 的实际完整路径。
      • 如果未设置 OPENSSL_CONF，确认 openssl.cnf 文件位于 OpenSSL 安装目录下的 ssl 子目录中。
      • 确认文件确实存在于指定路径，且当前用户有读取文件的权限。
      • 使用 openssl version -d 查看 OpenSSL 期望的默认配置目录，检查文件是否在那里。

  3. “由于找不到某些 DLL 文件，无法启动此程序…” (例如 libcrypto-x64.dll, libssl-x64.dll)

    • 原因: OpenSSL 依赖的动态链接库 (DLLs) 文件不在系统可以找到的位置。如果在安装时选择了“拷贝 DLLs 到系统目录 (不推荐)”或“拷贝到 Bin 目录”，并且 Bin 目录没有添加到 PATH，就会出现这个问题。
    • 解决:
      • 确保 OpenSSL 安装目录的 bin 目录已添加到 PATH 环境变量中。
      • 如果在安装时选择了拷贝到 Bin 目录，确认 DLL 文件就在 Bin 目录中。
      • 如果在安装时选择了拷贝到系统目录，检查 C:\Windows\System32 (或 SysWOW64) 是否存在这些 DLL 文件。如果不存在，考虑重新运行安装程序，选择拷贝到 Bin 目录并配置 PATH。
      • 某些旧版本的 OpenSSL 可能依赖特定的 Visual C++ 可再发行组件包。如果安装程序没有捆绑或提示，可能需要手动下载安装对应版本的 Microsoft Visual C++ Redistributable。

  4. 运行 CA 相关命令 (如 openssl ca) 时出错

    • 原因: openssl.cnf 中 [ CA_default ] Section 的配置不正确，或者 dir 指定的 CA 工作目录未正确初始化。
    • 解决:
      • 检查 openssl.cnf 中 [ CA_default ] Section 的各项参数是否正确指向了实际的文件和目录路径。
      • 确保 dir 指定的目录存在，并且其下创建了 certs, crl, newcerts 子目录。
      • 在 CA 工作目录下创建或初始化 index.txt (空文件或包含一行 V\n) 和 serial (包含下一个序列号，如 01\n) 文件。使用 openssl rand -hex 16 > private/.rand 初始化随机数文件（如果需要）。
      • 确保 CA 的私钥 (ca.key.pem) 和证书 (ca.cert.pem) 存在于指定位置，且文件内容正确。

  5. 使用 openssl s_client 或 openssl s_server 进行 TLS 测试时出现证书验证错误

    • 原因: 对方证书的签发者不在 OpenSSL 当前信任的 CA 列表中。
    • 解决:
      • 使用 SSL_CERT_FILE 或 SSL_CERT_DIR 环境变量，或者在命令行中使用 -CAfile 或 -CApath 参数，指向包含对方证书签发 CA 证书的文件或目录。
      • 如果您是在测试自己的私有 CA，请确保您的私有 CA 证书被 OpenSSL 信任 (通过上述环境变量或参数指定)。
      • 对于测试目的，可以使用 -untrusted 参数加载中间证书，或使用 -verify_depth 控制验证深度，或者使用 -verify 0 完全禁用证书验证 (不安全，仅用于调试)。

第六部分：总结与展望

通过以上步骤，您应该能够在 Windows 系统上成功安装、配置并开始使用 OpenSSL。理解 openssl.cnf 文件的结构和常见配置选项，可以让您更高效地利用 OpenSSL 进行各种安全相关的任务，无论是生成用于网站的 SSL/TLS 证书，还是进行数据加密和解密，或是构建简单的私有 CA。

OpenSSL 的功能非常强大，命令行工具 (openssl) 支持众多子命令，每个子命令又有大量的选项。本文仅涵盖了基本的安装、配置和 openssl.cnf 的核心部分。要深入学习，建议查阅 OpenSSL 官方文档或使用 openssl <command> -h 或 man <command> (在支持 man 页面的环境中) 查看特定命令的帮助信息。

在 Windows 环境下，虽然 OpenSSL 的使用体验可能不如 Linux/Unix 那样原生流畅，但通过合理的安装选择和环境变量配置，以及对 openssl.cnf 文件的恰当修改，OpenSSL 依然是进行密码学操作和证书管理不可或缺的利器。希望这篇详细指南能帮助您更好地驾驭 OpenSSL 在 Windows 平台上的应用。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部