码迷,mamicode.com
首页 > 其他好文 > 详细

openssl原理的初步理解与私有CA服务器的建立

时间:2014-08-03 15:28:06      阅读:215      评论:0      收藏:0      [点我收藏+]

标签:私有ca openssl加密过程

加密算法主要分为对称加密算法和对称加密算法

 一。对称加密算法的原理:使用相同的密钥进行加密运算的算法就是对称加密算法
       加密过程(内容-->对称加密-->加密后的内容)
       解密过程(加密内容-->对称加密方式--》解密后的内容)
       优点与特点:速度块 加密相对安全 加密紧凑;缺点是不能用于大规模使用,会随参与人数的正佳而映像密钥的存储和管理,不支持数字签名和不可否认性
   
二.  非堆成加密的原理:非对称算法需要每个参与者产生一对密钥,且将公钥共享到服务器,保证了私 钥的安全
        加密解密过程:产生密钥对--> 通过公钥/私钥进行加密-->加密内容-->通过私钥/公钥进行解密-->解密后的内容
        优点:不需要发送密钥给接受者,密钥数目与参与者相同,没有复杂的密钥分发问题,在交换公钥钱不需要预先建立信任关系
        缺点:加密速度慢,会导致密文远大于加密前的长度  
        
三.单向加密的过程:(发送方=A  接受方=B 传输内容=O)
          1.A使用算法生成自己的数字签名,用自己的私钥对数字签名加密并与C打包
          2.A使用算法生成随机对称密钥加密整个数据,生成数据C1
          3.A再用B的公钥加密随机生成的对称密钥,生成最终的数据CC
          4.B先使用自己的私钥对数据CC机密,得到生成的随机对称密钥
          5。B再用A的公钥解密有A的私钥加密生成的数字就签名
          6.最后对比数字签名,确定该包是否由A发送过来的
        
         
       
  四. 证书的产生流程:        
         1.Client 能互联网下载CA的公钥,用于验证Server身份
         2.Server 通过加密算法生成一对密钥,将公钥发给CA认证机构,做数字证书
         3.CA 通过自己的私钥加密 Server 公钥并加上自己的数字签名后,将生成的数字证书发给Server
         4.Client 与 Server 通TCP的三次握手建立连接
         5.Client 发出HTTP的报文请求,并和Server协商使用哪种算法加密
         6.Server 响应报文并将公钥(CA证书)发送给客户端
         7.Client 能通过CA的公钥解密CA证书,得到Server的公钥和数字签名,Client 通过散列函数算出
                    Server公钥的数字签名与得到的数字签名对比,来验证Server身份,验证成功并发送数据请求
         8.Server 处理请求,并根据Client请求的资源类型,来访问相关资源做出响应报文,并记录日志
         9.Client 与 Server 通过TCP的四次挥手断开连接,通信完成

 

五.建立CA证书签署服务器

     (一)CA服务器

      1.生成密钥对

bubuko.com,布布扣

      2.生成自签署证书

bubuko.com,布布扣

      3.初始化工作环境

         #touch /etc/pki/CA/{index.txt,serial}

         #echio  01 > index.txt

       

     (二)节点生成签署证书请求(这里以http服务为例)

      1.生成密钥对

bubuko.com,布布扣

       2.生成签署请求

bubuko.com,布布扣

         3.使用scp将签署请求发送给CA服务器 使用scp即可

 

     (三)CA为节点签署证书

       1.验证证书的信息的真实性

        2.签署证书

bubuko.com,布布扣

        3.将证书发送给节点

            #scp 证书名  服务器IP地址

       (四)吊销证书

       1.节点后去证书中的serial与subject信息,并将信息发送给CA服务器

        # openssl x509 -in /path/to/certificate_file.crt -noout -serial -subject

     

        2.CA服务器对比验证需要吊销的证书

        3.吊销证书

             # openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem

 

         4.生成吊销列表

         # echo 00 > /etc/pki/CA/crlnumber

 

         5、更新证书吊销列表
         # cd /etc/pki/CA/crl/
         # openssl ca -gencrl -out thisca.crl

 

         如果需要,查看crl文件的内容:
         # openssl crl -in /path/to/crlfile.crl -noout -text

 

注:openssl的各子命令的详细用法请使用# man openssl       

本文出自 “菜鸟前行之路” 博客,谢绝转载!

openssl原理的初步理解与私有CA服务器的建立,布布扣,bubuko.com

openssl原理的初步理解与私有CA服务器的建立

标签:私有ca openssl加密过程

原文地址:http://8381039.blog.51cto.com/8371039/1534946

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!