码迷,mamicode.com
首页 > 其他好文 > 详细

加密解密技术基础,pki以及自建私有CA

时间:2016-07-11 01:15:39      阅读:254      评论:0      收藏:0      [点我收藏+]

标签:私密性   网络安全   数据加密   secret   

    网络安全议题,几乎是业内人士避不开的话题,要做到网络安全,主要旨在三个方面的目标:保密性,完整性和可用性。本文在此主要对基础的加密和解密技术,ssl协议,以及ssl协议的实现实例做一些简要描述和梳理。


加密和解密:

    目前对于网络安全的攻击,很大部分集中在“威胁保密性的攻击”,也就是我们进场所说的数据泄露,加密和解密是目前最为直观的解决保密性问题的手段。

几种加密方式:

  • 对称加密;

     特点:加密和解密使用同一个密钥;将数据分割成多个固定大小的块,逐个加密;

     缺点:密钥过多(对于服务器端,需要与多人通信);密钥分发困难;

     算法:DES,3DES,AES等;

  • 非对称加密;

    特点:公钥加密的数据,只能够通过与之配对的私钥才能解密;反之亦然;

       私钥:secret key,通过工具创建,使用者自己保存,必须要保证私密性;

       公钥:pubkey,从私钥中提取而来,可以公开给所有人;

     用途:数字签名;密钥交换;数据加密(非对称加密效率低,一般不用作数据加密);

     算法:RSA,DSA等;

  • 单向加密:

       用途:提取数据指纹(特征码),验证数据完整性;只能加密,不能解密;

       特点:定长输出,雪崩效应;

       算法:md5,sha{1-6}等;


SSL协议和OPENSSL

    secure socket layer,安全的套接字层,位于应用层和传输层之间;SSL协议由网景公司在1994年研发,目前已经发展到3.0版本,其与继任者Transport Layer Security,简称TLS都是为网络通信提供保密性和完整性的安全协议。SSL协议的1.0到3.0版本都被发现安全漏洞,所以SSL目前快要淡出,其继任者TLS快要成为事实上的标准了。


OPENSSL:SSL协议的实现。

  • 在centos 7 的OPENSSL包中,主要包含三个部分:libcrypto,libssl和openssl。前两者主要为开发者使用,我们最常用的还是openssl。

  • SSL handshake protocol:SSL握手的过程;

    • 第一阶段:client hello;C端向S端发送;

      向S端发送自己所支持的协议版本(如tls 1.2),发送一个随机数(用于生成“会话密钥”),支持的加密算法(如AES,RSA等,便于协商生成会话密钥,可以使用相同加密算法),以及支持的压缩算法;

    • 第二阶段:server hello;S端回应;

      确认使用的协议版本;S端生成一个随机数(用作生成会话密钥);确认使用何种加密算法;以及发送服务器证书;(假如S端需要验证C端,会有索要C端证书的信息发送到C端);

    • 第三阶段:C端握手结束;

      验证服务器证书,确认无误后取出公钥(验证发证机构,证书完整性,持有者,有效期,吊销列表等);验证后发送以下信息给S端:一个随机数(用于服务器公钥加密);编码变更通知(表示随后信息会以协商好的加密方法发送);C端握手结束;

    • 第四阶段:S端握手结束;

      S端受到C端发来的第三个随机数pre-master-key后,计算生成本次会话的“会话密钥”,并向C端发送信息如下:编码变更通知(表示随后信息会以协商好的加密方式发送);S端握手结束;


下面是一个简单的加密传输图示:

技术分享

(图片可查看附件)


OPENSSL相关命令:标准命令,消息摘要命令,加密命令等;

主要介绍标准命令:enc,ca,req,genrsa;

  • 对称加密:openssl enc;

    支持算法:3des,aes,blowfish等;

    例:openssl enc -e -des3 -a -salt -in fstab -out fstab.ciphertext;将fstab文件用3des算法加密;

  • 单向加密(数据特征码):openssl dgst,gpg,md5sum等;

    例:openssl dgst -md5 /PATH/TO/SOMEFILE == md5sum /PATH/TO/SOMEFILE;两者算法一致,得到的特征码也是一样的;

    生成用户密码:openssl passwd -1 -salt 12345678;-1表示md5算法,-salt可以指定随机数;

    生成随机数:openssl rand -base64 NUM;NUM表示字节数;-base64表示文本格式;-hex表示格式为16进制;

  • 公钥加密:openssl genrsa

    • 算法:RSA(加密解密,数字签名),DH(经常用作密钥交换),DSA(数字签名);

    • 生成密钥:

      • openssl genrsa 1024;

      • openssl genrsa 1024 > /tmp/mykey2.private 1024;重定向到文件中;

      • openssl genrsa 1024 -out  /tmp/mykey2.private 1024;使用out也可以;

      • 经常用法:(usmak 077openssl genrsa 1024 -out  /PATH/mykey2.private 1024)保证权限为600

    • 提出公钥:

      • openssl rsa in /PATH/FROM/PRIVATE_KEY -pubout;  

  • 系统随机数生成器:

    • /dev/random:仅从熵池返回随机数,随机数用尽,就会发生阻塞;

    • /dev/urandom:从熵池返回随机数,随机数用尽,会利用软件生成伪随机数,不会阻塞;


PKI:Public Key Infrastructure,公钥基础设施;主要包含以下四个部分:

  1. 签证机构:CA;

  2. 注册机构:RA;

  3. 证书吊销列表:CRL;

  4. 证书存取库:


自建私有CA;

  • 工具有openssl和openCA;此处以openssl为例;

  1. 构建私有CA:在确定配置为CA的服务器上生成一个自签证书,并为CA提供所需目录文件即可;

    1. 生成私钥;

  • (umask 077;openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)

自签证书:CA需要先给自己签发证书;
  • openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3655;;
    如果不是自签证书,不加-x509即可;
    -new:生成新证书签署请求;
    -key:生成请求时用到的私有文件路径;
    -x509:生成自签格式证书,专门用于创建私有CA时使用;
    -out:生成的请求文件路径,如果是自签操作将会直接生成签署证书,没有请求这一步;
    -days:证书的有效时长,默认单位day;
    最后按照提示填好相关信息即可!

为CA提供所需目录及文件;
  • mkdir -pv /etc/pki/CA{certs,crl,newcerts};

  • touch /etc/pki/CA{serial,index.txt};

  • echo 01 > /etc/pki/CA/serial;


需要用到证书进行安全通信的服务器,需要向CA请求签署证书,步骤如下:
  1. 生成秘钥:

  • mkdir /etc/httpd/ssl

  • cd /etc/httpd/ssl

  • (umask 077;openssl genrsa -out /etc/httpd/ssl/httpd.key 2048)

生成签署请求:
  • openssl req -new -key http.key -out httpd.csr -days 365;

  • 填写相关信息;

  • 并把生成的httpd.csr发送到之前创建好的Ca主机上;(使用scp等工具)

私有CA签署证书(这一步由请求的CA操作)
  • openssl ca -in /PATH/TO/httpd.csr -out /etc/pki/CA/certs/httpd.crt -days 365;

  • 然后再将生成的证书文件发送给请求的服务器主机即可;

查看证书信息:openssl x509 -in http.crt -noout -serial -subject;-subject指看主要部分内容,-serial指查看序列号;


以上。

加密解密技术基础,pki以及自建私有CA

标签:私密性   网络安全   数据加密   secret   

原文地址:http://daerwa.blog.51cto.com/11586654/1823009

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!