CA证书的申请、签发,数据的安全加密、openssl的使用
原创1297236008 ©著作权
©著作权归作者所有:来自51CTO博客作者1297236008的原创作品,谢绝转载,否则将追究法律责任
TCP/IP协议:
数据传输基本上明文的,不安全 这样的协议还有:
http、 smtp、 dns、 pop3、 imap4
常见的中间人攻击方式:窃听、数据注入、会话劫持
数据加密方式
1、对称加密
加秘方和解密方使用同一个密钥,加密快
密钥交换对于对称加密来讲是无法解决的一个难题
加密算法:
DES 数据加密标准 data encryption standard
3DES 使用des连续加密三次
AES:高级加密标准
Blowfish
加密常用工具
opwenssl enc
gpg(pgp)
2、公钥加密
密钥不是一个是一对,公开的叫公钥 另一段是私钥
data-->pk(公钥加密) --> code
code --sk(私钥解密) --> data
公钥加密非常慢,效率低,可以实现密钥交换
dh算法是实现密钥交换的重要机制
密钥交换的算法基于公钥加密 :
KE(DH)
公钥交换 Pub key encryption KE
公钥加密是非对称的加密
加密和签名 RSA,ELGamal
DSA只能实现签名
公钥加密工具:gpg、openssl rsautl
3、单向加密:获取数据特征码
特征:
1)定长输出
2)不可逆
3)雪崩效应 小小的变化,引起大的效应
身份验证:用户签名(数据签名)
证书CA 里存放了证书持有人的公钥,又称用户公钥;还有证书的有效期
加密的工具有:md5sum、sha1sum、openssl dgst
加密:就是将明文转换成密文
PKI Public key infrastructure 公钥基础设施
PKI核心就是CA
openssl 有三个组成部分
1、libcrypto
2、libssl 在linux实现ssl非常重要的库 能实现基于会话的安全
3、openssl 多用途的加密工具,还可以作为本地CA使用
# openssl speed 加密速度测试
# openssl rand [-base64] num 格式
# opsenssl rand 1223 生成二进制 不说明默认是二进制的
# opsenssl rand -base64 1223 生成64进
# echo -n redhat | openssl base64
可以计算文件的校验码
# md5sum test
# sh1sum test
如果文件有改动,加密结果会引起很大的不同
openssl实现单向加密
公钥在私钥中,公钥是从私钥中提取出来的
# openssl genrsa 2048 > my.key 2048位 生成私钥文件,用输出重定向保存到文件my.key
# openssl rsa -in my.key -pubout 公钥信息
生成私钥文件时直接改权限
# (umask 077;openssl genrsa 1024 > my.key)在子shell中运行且权限为600的权限
# openssl genrsa -des3 -out test.txt(文件名)1024 生成加密的私钥1024位的
# openssl rsa -in my.key -des3 -out mykey.hh 给没有加密的文件加密
# openssl rsa -in mykey.hh -out mykey 解密
证书里包含
1、证书的持有者的相关信息 包括主机IP
2、CA 的相关信息
3、证书的使用方法
4、公钥
x509格式
CA如何给自己发CA证如果这台主机是172.16.27.1?CA相关信息在/etc/pki目录下
1、# cd /etc/pki 切换到这个目录下看有哪些文件
2、# ls
3、# cd tls/
4、# vim
找到[CA_degault] 这一行将dir改为dir=/etc/pki/CA
5、# cd /etc/pki/CA
6、#(umask 077;openssl genrsa 1024 > private/cakey.pem) 生成的私钥就会保存在/etc/pki/CA/private下,
命名为cakey.pem 注:名字必须是cakey.pem开头,应为配置文件中指明要用这个名字 /etc/pki/CA/private 就是保存私钥的目录
7、# openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days(有效期) 3650 -key:明确说明私钥文件在什么地方,证书里都是公钥,它能自动的提取私钥。
申请发证,自己申请自己签署,req:发出请求 -x509:ca格式 -new:新发起的 -days:有效期限
命令执行后会出现一个交互模式,1)、让你写国家两个字母代替:CN
2)、省份 3)、城市 4)、机构或公司名 5)、所在部门 6)、主机名:ca.(CA给自己颁发证书,所以这里用ca.什么什么,如ca.yy.com)
7)、email address:ca@yy.com
8、# ll 可以看到cacert.pem已经生成
9、# mkdir certs crl newcerts 创建CA的工作目录,为什么要使用这几个目录?取决于openssl的配置文件openssl.cnf
10、# touch index.txt serial 创建这两个文件 index.txt 缩影文件 serial 序列号
11、 # echo 01 > serial 给serial一个初始值
如果一台主机192.168.233.1需要一个CA证书如何用openssl生成CA证书
1、# hostname www.edu.com 比如说这个主机名是www.edu.com,可以根据自己的需要
2、# mkdir /etc/httpd 假设这台主机的web工作目录在/etc/httpd
3、# cd /etc/httpd
4、# mkdir ssl 创建一个子目录 专门存放与ssl相关的信息
5、# cd ssl/
6、#(umask 077;openssl genrsa 1024 > httpd.key)生成的私钥保存在当前目录下交httpd.key
7、# openssl req -new -key httpd.key -out httpd.csr 生成请求 .csr是正规后缀,也可以不叫这个名
执行命令后出现的结果和上面的差不多,主机名 为www.edu.co
8、# scp httpd.csr 172.16.27.1:/tmp 把请求发给CA 172.16.27.1
签署证书在172.16.27.1:
1、# cd /tmp
2、# ls 看一下有没有请求文件httpd.csr
3、# openssl ca -in httpd.csr -out httpd.crt 签证书
命令执行后会问你是否要签,写y,写y后又会问你是否确定再输入y
4、# ls 就会有签证文件httprd.csr
签证完后客户端就会获取到信息回到192.168.233.1主机:
# cd /etc/httpd/ssl
# scp 172.16.27.1:/tmp/httptd.crt ./
这就是CA发证的过程
怎样吊销证书?
# openssl ca -revoke httpd.crt 吊销http.crt证书
用户自己是没有吊销证书的权利的
那么怎样完整实现传输数据的安全呢?保证数据安全、完整传输的理论:
假如说是A给B发送数据,AB都有对方认可的CA证书,怎样实现呢?
首先A先生成一段数据即要发送的内容,然后用单向加密方法计算出特征码,为了保证A的身份,即是A发过来的,要用自己的私钥即发送方A的私钥加密特征码并附加在邮件的后面,同时为了保证这段数据只有B能看到其他人看不到,A再用对称加密生成一对对称密钥,用这个密码加密整段数据,最后A用B的公钥加密,公要信息都在CA证上面,CA证是公开的,这就是一段数据安全、完整性传输的过程。
上面是怎么判断数据的完整性呢?很简单,当B收到加密的数据后先用自己的私钥解密,然后B在用A的公钥解除A用私钥的加密,之后就能看到数据和特征码了,要想验证是否是完整,则只需要用同样的算法计算这段数据,看计算出来的特征码和发过来的特征码是否一样,一样说明数据完整,不一样说明数据变了。
上一篇:怎样配置DNS服务器
下一篇:LAMP的基本安装步骤
![](https://ucenter.51cto.com/images/noavatar_middle.gif)
提问和评论都可以,用心的回复会被更多人看到
评论
发布评论
相关文章
-
摘要 数字签名 数字证书 加密 国密 OpenSSL OpenSSH
摘要 数字签名 数字证书 国密 对称加密 非对称加密 openssl工具 openssh
加密算法 数字签名 数字证书 国密 对称加密 -
基于OpenSSL的CA建立及证书签发(签发单域名/IP)配置文件 ssl证书 库文件 多域名 环境搭建
-
加密、解密,以及OpenSSL建立自己的CA证书
加密、解密,以及OpenSSL建立自己的CA证书
加密 OpenSSL 解密 -
申请CA证书的步骤
我们再日常使用的系统中会用到很多签名的地方,再win中 控制台输入certmgr.msc随机查看证书—OpenSSLOpenS
ssl https 证书 java html -
OpenSSL自建CA和CA链,给主机签发证书的批处理(使用x509命令)
用openssl的x509命令制作CA或者CA链签发证书
opensslCA证书链签发证书