OpenSSL 介绍(4)–非对称加密

本文主要介绍如何使用 OpenSSL 来进行非对称加解密，使用的算法为 RSA，DSA 算法的使用方法类似；文中所使用到的软件版本：OpenSSL 1.1.1s、CentOS7.9.2009。

1、非对称加密算法

非对称加密算法需要两个密钥：公开密钥（publickey:简称公钥）和私有密钥（privatekey:简称私钥）。公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将公钥公开，需要向甲方发送信息的其他角色(乙方)使用该密钥(甲方的公钥)对机密信息进行加密后再发送给甲方；甲方再用自己私钥对加密后的信息进行解密。甲方想要回复乙方时正好相反，使用乙方的公钥对数据进行加密，同理，乙方使用自己的私钥来进行解密。

另一方面，甲方可以使用自己的私钥对机密信息进行签名后再发送给乙方；乙方再用甲方的公钥对甲方发送回来的数据进行验签。

甲方只能用其私钥解密由其公钥加密后的任何信息。非对称加密算法的保密性比较好，它消除了最终用户交换密钥的需要。

非对称密码体制的特点：算法强度复杂、安全性依赖于算法与密钥但是由于其算法复杂，而使得加密解密速度没有对称加密解密的速度快。对称密码体制中只有一种密钥，并且是非公开的，如果要解密就得让对方知道密钥。所以保证其安全性就是保证密钥的安全，而非对称密钥体制有两种密钥，其中一个是公开的，这样就可以不需要像对称密码那样传输对方的密钥了。这样安全性就大了很多。

非对称加密算法主要有：RSA、DSA、DH(Diffie-Hellman密钥交换算法) 和 ECC(椭圆曲线加密算法)。

2、用法2.1、生成 RSA 私钥

通过 openssl genrsa -help 命令查看用法：

shell> /home/mongo/soft/openssl-1.1.1s/bin/openssl genrsa -helpUsage: genrsa [options]Valid options are: -help               Display this summary -3                  Use 3 for the E value -F4                 Use F4 (0x10001) for the E value -f4                 Use F4 (0x10001) for the E value -out outfile        Output the key to specified file -rand val           Load the file(s) into the random number generator -writerand outfile  Write random data to the specified file -passout val        Output file pass phrase source -*                  Encrypt the output with any supported cipher -engine val         Use engine, possibly a hardware device -primes +int        Specify number of primes

参数说明：

参数	说明
-out outfile	指定私钥输出文件
-*	指定对私钥进行加密的对称加密算法

2.2、RSA 密钥操作

OpenSSL 中可以通过 openssl rsa 命令进行密钥的相关操作，包括从公钥提取私钥；通过 openssl rsa -help 命令查看用法：

shell> /home/mongo/soft/openssl-1.1.1s/bin/openssl rsa -helpUsage: rsa [options]Valid options are: -help              Display this summary -inform format     Input format, one of DER PEM -outform format    Output format, one of DER PEM PVK -in val            Input file -out outfile       Output file -pubin             Expect a public key in input file -pubout            Output a public key -passout val       Output file pass phrase source -passin val        Input file pass phrase source -RSAPublicKey_in   Input is an RSAPublicKey -RSAPublicKey_out  Output is an RSAPublicKey -noout             Don't print key out -text              Print the key in text -modulus           Print the RSA key modulus -check             Verify key consistency -*                 Any supported cipher -pvk-strong        Enable 'Strong' PVK encoding level (default) -pvk-weak          Enable 'Weak' PVK encoding level -pvk-none          Don't enforce PVK encoding -engine val        Use engine, possibly a hardware device

参数说明：

参数	说明
-inform format	指定输入格式：DER，PEM
-outform format	指定输出格式：DER，PEM，PVK
-in val	指定密钥输入文件
-out outfile	指定密钥输出文件
-pubout	输出公钥
-noout	不输出私钥信息
-text	以文本格式打印私钥信息
-*	对私钥进行加密的对称加密算法

2.3、RSA 加解操作

通过 openssl genrsa -help 命令查看用法：

shell> /home/mongo/soft/openssl-1.1.1s/bin/openssl rsautl -helpUsage: rsautl [options]Valid options are: -help                    Display this summary -in infile               Input file -out outfile             Output file -inkey val               Input key -keyform PEM|DER|ENGINE  Private key format - default PEM -pubin                   Input is an RSA public -certin                  Input is a cert carrying an RSA public key -ssl                     Use SSL v2 padding -raw                     Use no padding -pkcs                    Use PKCS#1 v1.5 padding (default) -oaep                    Use PKCS#1 OAEP -sign                    Sign with private key -verify                  Verify with public key -asn1parse               Run output through asn1parse; useful with -verify -hexdump                 Hex dump output -x931                    Use ANSI X9.31 padding -rev                     Reverse the order of the input buffer -encrypt                 Encrypt with public key -decrypt                 Decrypt with private key -passin val              Input file pass phrase source -rand val                Load the file(s) into the random number generator -writerand outfile       Write random data to the specified file -engine val              Use engine, possibly a hardware device

参数说明：

参数	说明
-in infile	指定待加解密的文件
-out outfile	指定输出文件
-inkey val	指定密钥输入文件
-pubin	输入密钥为公钥
-encrypt	使用公钥加密
-decrypt	使用私钥解密

3、具体使用3.1、生成私钥

shell> /home/mongo/soft/openssl-1.1.1s/bin/openssl genrsa -out test.key 2048

生成一个 2048 位的私钥并保存到 test.key 文件中，文件内容如下：

3.2、打印私钥

/home/mongo/soft/openssl-1.1.1s/bin/openssl rsa -in test.key -noout -text

3.3、根据私钥生成公钥

shell> /home/mongo/soft/openssl-1.1.1s/bin/openssl rsa -in test.key -pubout -out test.pem

生成的公钥保存到 test.pem 文件中，文件内容如下：

3.4、使用公钥加密

A、通过管道符指定输入

echo -n 123456 | /home/mongo/soft/openssl-1.1.1s/bin/openssl rsautl -encrypt -inkey test.pem -pubin -out test.encrypt

使用公钥加密 “123456”，结果保存到test.encrypt 文件中。

B、输入为文件

新建文件 a.txt，在文件中输入内容：

使用 a.txt 作为输入：

/home/mongo/soft/openssl-1.1.1s/bin/openssl rsautl -encrypt -inkey test.pem -pubin -in a.txt -out test.encrypt

注：标准输入(结束方法：先输入回车，然后输入 ctrl+D)会把换行符也带入计算；使用文件输入时，也会在文件内容最后增加换行作为 OpenSSL 的计算输入；这会导致加密的结果用其他加密工具(如：Java)解密后会多出一个换行，所以使用 echo -n 来去除换行。

3.5、使用私钥解密

/home/mongo/soft/openssl-1.1.1s/bin/openssl rsautl -decrypt -inkey test.key -in test.encrypt

3.5、私钥转为 PKCS8 格式

OpenSSL 生成的私钥默认为 PKCS1 格式，如果需要使用 Java 来加解密，则需要转成 PKCS8 格式；使用openssl pkcs8 命令来进行转换：

/home/mongo/soft/openssl-1.1.1s/bin/openssl pkcs8 -topk8 -in test.key -nocrypt -out test_pkcs8.key

转换后的结果保存到test_pkcs8.key 中。

OpenSSL 介绍(4)–非对称加密

最新关注

热文推荐

Python 潮流周刊第一季完结（1~30）

【FastBond2阶段1——基于ESP32C3开发的简易IO调试设备】

老牌开源 SVG 编辑器 SVGEdit 是如何架构的？

2023年东南大学机械工程考研考情与难度、参考书上岸前辈备考经验

“write javaBean error, fastjson version 1.2.83, class org.apache.shiro.web.servlet.ShiroHttpServletR

SQLServer 客户端链接服务器到Oracle数据库全攻略

OpenSSL 介绍(4)–非对称加密

相关文章

最新关注

热文推荐