国际标准化组织(ISO)定义了证书的结构和认证标准：X.509协议标准：
证书的组成包括：
证书的版本号
证书的序列号
有效期限
签发算法的ID
签发CA的名称
主体的名称
主体的公钥信息
主体的唯一标识符
发证者的唯一标识符
发证者的数字签名
扩展信息
CA如何发挥作用？
1.通信双方互相交换证书；
2.双方验证证书的真伪；
3.双方协商加密算法；
4.用CA颁发的公钥解密证书中的CA签名，能解密就说明证书来源可靠；
5.用协商出来的算法来加密证书，并取得特征值，与解密出来的特征值进行比较，如果相同，说明证书完整性有保证；
6.检查证书的有效期是否合法，如果在有效期内则证书可用；
7.检查证书的主体名称和此次通信的目标是否能够对应；
8.检查证书是否被吊销；
能够实现上述安全加密功能的协议：
SSL：Security Socket Layer，安全套接字层
1994年，Netscape（网景）公司最先声明并实施；
SSL V1.0
SSL V2.0
SSL V3.0
TLS：Transport Layer Security，传输层安全协议；
IETF：Internet Engineering Task Force，互联网工程项目小组；
1999年提出TLS V1.0
2006年提出TLS V1.1
2008年提出TLS V1.2草案，添加了椭圆曲线加密算法；
分层设计方案：
1.最底层：规定了基础算法的原语的实现；包括：AES,md5，sha，...
2.向上一层：各种算法的基本实现；
3.再上一层：各种算法组合实现的半成品；
4.最高层：用各种组件拼装而成的各种成品密码学协议软件；
SSL/TLS的handshake的四个阶段：
1.客户端线服务器索要证书并验证证书；
发送Client Hello的消息，此消息的主要内容：
支持的协议的版本，如：SSL V3.0 ,TSL V1.2
客户端生成一个随机数，稍后用于生成会话密钥；
支持的加密算法，如：DES,3DES,AES,RSA,...
支持的压缩算法，如：gzip,bzip2,deflate,...
2.双方协商生成会话密钥：
发送Server Hello消息，此消息主要内容：
确认使用的协议的版本，如：TLS V1.2
服务器也生成一个随机数，稍后用于生成会话密钥；
确认加密算法和压缩算法；
服务器的证书
3.双方会采用已经生成的会话密钥进行安全加密的数据通信：
客户端验证服务器证书，再确认无误后，取出其中的服务器公钥；
验证服务器证书的步骤：
验证发证机构（CA）
验证证书的完整性
验证证实书的持有者信息
验证证书的有效期
验证CA的吊销列表中是否有此证书
客户端发送信息给服务器端：
客户端再次生成一个随机数用于公钥加密；
编码格式的变更通知，表示以后的信息都将采用双方已经协商好的加密算法和压缩算法；
客户端握手结束；
服务器收到客户端发送来的第三个随机数（Pre_Master_key）；计算生成此次会话所用到的会话密钥，并向客户端发送相关信息；
编码格式的变更通知，表示以后的信息都将采用双方已经协商好的加密算法和压缩算法；
服务器端握手结束；
4.双方互相结束通信；
OpenSSL：开源的实现SSL/TLS协议的事实标准；
主要有三部分组成：
libcrypt：实现加密和解密算法的库
libss：实现SSL协议/TLS协议功能的库
openssl：多用途命令行工具
openssl命令行工具：
众多子命令实现各种安全加密功能；
标准命令：
enc，dgst，ca，req，genrsa，rand，rsa，x509，passwd，...
对称加密命令：enc
主要是提供对称加密算法，以进行数据或文件的手动加密
格式：openssl enc -ciphername [-in filename] [-out filename] [-pass arg] [-e] [-d] [-a/-base64] [-salt]
-ciphername:加密算法的名称
-in filename：openssl要读取的文件路径
-out filename：加密或解密操作后用于保存结果的文件路径
-e：加密操作
-d：解密操作
-a/-base64：用纯文本格式进行密文编码；
-salt：随机加盐；
示例：
加密文件：
~]# openssl enc -e des3 -in 123.txt -a -out 123.txt.plaintxt
解密文件：
~]# openssl enc -d des3 -out 123.txt -a -in 123.txt.plaintxt
单向加密命令：dgst
示例：
~]# openssl dgst -sha1 fstab
生成随机数命令：rand
openssl rand [-out file] [-rand file(s)] [-base64] [-hex] num
示例：
~]# openssl rand -base64 8
生成带盐的密码：passwd
openssl passwd -1 -salt SALT_STRING
示例：
~]# openssl passwd -1 -salt 456789
Password:
$1$456789$HNo/3Ml2mDyCIeduXf8lU0
公钥加密算法：genrsa
生成rsa加密算法的私钥
penssl genrsa [-out filename] [-passout arg] [-des] [-des3] [-idea] [-f4] [-3] [-rand file(s)] [-engine id] [numbits]
出于安全考虑，需要给创建的私钥赋予只有拥有者才能读写其他任何人都不能读写的权限；建议使用下列方法生成私钥：
~]# (umask 077 ; openssl genrsa -out /tmp/my.key 4096)
~]# (umask 077 ; openssl genrsa > /tmp/my.key 4096)
从已经生成的私钥文件中抽取公钥：rsa
openssl rsa [-in filename] [-out filename] [-pubout]
-pubout：抽取公钥
-in fiename：私钥文件的路径
-out filename：公钥文件的路径
示例：
tmp]# (umask 077 ; openssl genrsa -out /tmp/my.key 4096)
tmp]# cat my.key
-----BEGIN RSA PRIVATE KEY-----
MIIJKAIBAAKCAgEAxv/oFzpeuSMWQGRvKRuZAqa3PUX5uhbrrp7XHmEFV1kSHRP1
0bUP3H63viSl4AVwOth7qrLcyNIAq5DTSa4wMYdDGvVQbLqUWwy6ZjUbMn7f6avq
WIloudpyMywNq41UDsU4Z3eDEAJwn2ezWHC9ud2R0poBi64lLmYQB0mJWIw0z16x
Bg4eFrcAft507gd23fOw6VFyYmpb7MtioSNONCRDXQFcKsE0PguG7w0kDVrnwkLC
itWYbEs1qa/uX9nbwXUM2Y5t5rGFYvBKYa86Vs/YyDCMAx+KxFsQZF8xsZRh/VTo
2qAlB5ITOPpHLup4KID9s8Ha62Y68r8683mn0E2YKXe3Ha3aYyyp2G/XsIfCaNLJ
ujT3S+kIBXuKaOz85cniExcFidu9BGKpzygxJRaF23qTtS2mwiZ9RL2ZQ6+X6E5D
Ccd1pZprl0QCYvsLSmu3dr+iXN4BQm2ZAx8GBtbkD+a5MubF9S2c6ZlOLHgBDP62
3sKYP1MJKij+JInfB9C20uPHbjIHwsZjFXwKYbT6x3qsC4CZIMDDjHfPHf0lG3Id
sGmD4ac5y9f+N/9GunMt55UvFsIeICihZKwhIuoN/1rweNuajGwXWzvYtNsZopHG
1GQUwFL72Gj0QEyHEE+K2Q6z8wN7A7Mm3Grwjmv4G+lT0M5akhXOdWRYv3UCAwEA
AQKCAgA9reno8S2U4pwt/zM5IZWubbAT7NF3bU1FhXQVtWqrZS8pFhu2ERHGfPxE
kiVbpzPe+WRzRxcJo5WTl8L1bmj/oPYar/hqivYatno73a/9WbfbPG7ZXFW6bUvC
MqBWEOsB3P0bjL5xwt/XeJPtEJyttFBTX2qlOafKltXW/GL2sBZaQ/ZIcy2+SqB7
skW51VRxfOvTlWwHtwGhBnUejsvZe3fpptdDZTjlFjuPcpo/DXMSEhEsaQHiZvlO
C/qteOAVOUtvTycfPtyiCupzFpXVfHyrp+htu2QOck9FXQARE3W/yIaX5NU1YIBW
w7Q2hXQS0dBQ3AAXwEr7HGyQNJ/fczu33JzjLHCSP8sIuPICBfnxycBDQ932vNiz
RYi7d9271i7CxqQKr2soyC3Xop2z6of9hSybsewfrSgVUl5wRrJTm+cjpwxSfc7+
A84UuIOvZy7KdfqpcQmdMfLJPAuWHU44Omb+QD3L5PubKtCMZCW6OdJkONI9MpqF
FSWW+dAxKFSu79MMBNJPu9t+HWuolAdPLjGMTiBC1DSBf+vakanFPZsNMHfl+nhO
8239Lgie0p9Y7mPjJ3clt2Qe75SxG9FgurQm/2jr5lI1ELMgr5KhsSih344zjMJg
vPbMfr/o97X78r/03Pbp8XrgkZ2POmokBoC0imWnJdtGj+7gzQKCAQEA8f/qWtEv
p5QEtkbJWtPMs3cgsfFGVjEUHGkUvmDyzhHBpOpn4fWkmu15D6v5Oc6rLFcZ1T44
OF8vJwWKdrNpZ4Tc6pKpHC4e/duUrbpmeXl8QdspxepjlBnbzFAayKOrsl6xGmHw
7qxtl64RsONRv3eF24VqR1oLIAHseARHbG1b57tnVJuOduswh0ERNw4+OGEYJf76
Ne5Blq/SFI0MWbgLemSYmc9/sQD6hGDwG7rou1wxpHlta0iWkPxtOnzDwMpvy6Bj
f+TrWWBNd7ksqT/YRARDcUkxEru5dlqRM9fDzfZns29QiGU4Sl7KeFQFAcriejuX
2HhDQoqjYK86LwKCAQEA0oMl91hXI9tWbg2OJLi9dDx2v/E0SaFY5YS2aQ0RPZ3G
y/jHQYdNeOUeHfBKP7s0omk7jOIJK3lI2jEVRpxrunZMzrb/6k5f+4F0xUnOn+L+
TsjCHv7/Z6IVLxDvtlGXoyY85sqQlQ3R6C9Xq1+I1PeyUfq+75X+mgv/BZ7OpFeI
pBW0xmJiBRxjSV0MYwHvl6wobKZhvT6jxjVhlU/TL2aSuq8jsG+hAkEES6ZyrMon
gIQfAA/j80GAyfGwJ2DwL/mdCzMTXCOVnTfWKfN7AN9VBmljfOU0ctOHeH96Hr3Y
k/48FoVuLikg3Rt5f5jVYnJOouU383MBieYdD6eLmwKCAQBUHOpdFJZmvckBfgsg
mbttqXtgvgb/kGF4GoIORe4+9+cBpkPjQxkqjF3mt5SRpibS65dcChtKZLMj8gYV
ifiZ9ZE/qyhCVjmJbNf5pm9Vy4cH8OBNHVHtOSuvkSwuDs1v2v/dtqsimiYhcWxO
ukRAs4+AJJgzIrX5MxH5CSu2ITCvk/CvdL4I0Wh1qoUMSNQRjpXxJvXa5uw/Lu9r
Gzduu8yphuuPkpLEeB2bA4KRcN7RuJK8o0QH5RwIWuSwTotPqE1BTocm/e9bimCC
u4ctcLZ/taenaZQ3+a3V2Fbd2SICpaGXuZoZPm1ZVCc1uaZf4B/l8m6t2+cs6rks
stsbAoIBAFYqOjsQ3LIfkDQBtmHPgDR4nz6XcwiEU0e215cOMzVeREWu8Zgf0pUe
awJkHXASp0um+SoERy6VOT2eA5BgbDPpQi0GeJ+mLuFaLrqmKD4HgoIq6FIZm98G
V9do/kVJBmFQQHNTDHUGMBnybtcFhpNtQ38MvGSCp7DUIjFhvEFGVvaar+DX2jkv
UnBv9qb73t7dJ7q5K55zakOyC9w6zT1EpeBl2ZzZRDUQ+bohSiTxpdOTwMCcwHgM
IrQGCk1D/2wTprUz1cPMCOxOM4n+UCWeREYYkxFHG/24GWY3/3tfx6tjz6KEQQIB
8aKvIT8aBpWCJi/E1O7/7uxL1S9YK+sCggEBAN0YcjG8SHk6h/15Gs0cY4vy5Ixd
K+qfiHyiAzkuW5aZq1QhEMWAnE+1hF2wYBKgzDMQ+zKD4aa+5FM96EkdvPAlmwma
O+NqKqIO9P3eBhU+qFu9wWKbekA0SVLSbFfEiALxbIGOsQxFHslc8YS+7KTpO3he
IKtSRxbhJGscfGcSkAHwsavBeJemf8ro8yHqZq0EqfnKOMf9H6Tww+/+YhPiRcvc
eZxDd/JizU+Bw9LLzxVvtlUY5IirnLKfA2tBCzCYHT1WbKlBbx6Va/xfPeLfPMpE
3Xv+sNmrghpGC8a4kjiXJS/Z9wiJ2bbPuItML/1OvQV/OHK+g/TbI4KHqfI=
-----END RSA PRIVATE KEY-----
[root@localhost tmp]# openssl rsa -in my.key -out mykey.pub -pubout
writing RSA key
tmp]# cat mykey.pub
-----BEGIN PUBLIC KEY-----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-----END PUBLIC KEY-----利用openssl建立私有CA：
1.创建CA所在主机的私钥文件；
2.生成自签证书；
3.必须为CA提供必要的目录级文件及文本级文件：
目录级文件：
/etc/pki/CA/certs
/etc/pki/CA/crl
/etc/pki/CA/newcerts
文本级文件：
/etc/pki/CA/serial:保存证书的序列号，一般初始序列号为01；
/etc/pki/CA/index.txt:保存证书索引；
/etc/pki/tls/openssl.cnf:配置文件；
知道了解就好，不一定要会做，在工作中用不太到 前提是知道了解..
创建私有CA的步骤：
1.创建CA的私钥文件：
(umask 077 ; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048(长度越长安全性越高速度越慢))
2.生成自签证书：
openssl req 命令：
openssl req [-out filename] [-new] [-key filename] [-x509] [-days n]
3.完善目录及文本文件结构：
touch /etc/pki/CA/index.txt
echo 01 > /etc/pki/CA/serial
在CA上查看证书内容：
openssl x509 -in /etc/pki/CA/cacert.pem -noout -serial -subject
创建私有CA示例：
tmp]# ls /etc/pki
CA ca-trust java nssdb product product-default rpm-gpg rsyslog tls
tmp]# cd /etc/pki
pki]# cd CA
CA]# ls
certs crl newcerts private
CA]# touch index.txt
CA]# echo 01 > serial
CA]# cat serial
01
CA]# ls
certs crl index.txt newcerts private serial
CA]# ls ../tls/
cert.pem certs misc openssl.cnf private
CA]# (umask 077 ; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)
Generating RSA private key, 2048 bit long modulus
.............+++
.....+++
e is 65537 (0x10001)
CA]# ls private/
cakey.pem
CA]# ll private/
总用量 4
-rw-------. 1 root root 1679 4月 16 15:47 cakey.pem
CA]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3653
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ‘.‘, the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:HB
Locality Name (eg, city) [Default City]:****
Organization Name (eg, company) [Default Company Ltd]:yanshandaxue
Organizational Unit Name (eg, section) []:****
Common Name (eg, your name or your server‘s hostname) []:xuesheng.ll.com
Email Address []:12354@qq.com
CA]# ls
cacert.pem certs crl index.txt newcerts private serial
CA]# cat cacert.pem
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
CA]# openssl x509 -in cacert.pem -noout -serial
serial=FA3E829561558A15(序列号)吊销证书：必须在CA上执行：
1.获取客户端证书对应的序列号：openssl x509 -in /etc/pki/CA/certificate -noout -serial -subject
2.吊销证书：openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem
注意：上述命令中的“SERIAL”是要换成准备吊销的证书的序列号；3.生成吊销证书的吊销索引文件：仅需要第一次吊销证书时执行此操作；
echo "SERIAL" > /etc/pki/CA/crl/crlnumber
4.更新证书吊销列表：openssl ca -genctl -out /etc/pki/CA/crl/ca.crl 不同版本路径会有所差别！！
5.查看CRL：openssl crl -in /etc/pki/CA/crl/ca.crl -noout -text
实现加密/解密的应用程序：gpg，可以使用gpg实现对称加密；
gpg2 [--homedir dir] [--options file] [options] command [args]
常用选项：
-c：实施对称加密
-o file ，--output file：将解密结果保存于指定文件当中；
--gen-key：生成密钥对，即：公钥+私钥
--list-keys：查看公钥
--export：导出钥匙环上所有的公钥，也可以导出指定名称的公钥；默认直接将公钥输出到标准输出；需要配合使用-o选项，才能将其保存到文件中；
--import：导入到指定的公钥钥匙环；
-r：复制加密文件
-e：加密数据
--delete-key name
--delete-secret-key name
--delete-secret-and-public-key name
删除公钥和/或私钥，删除密钥的时候，先删私钥，再删公钥；
gpg应用示例：
加密文件：
~]# gpg -c fstab
解密文件：
~]# gpg -o fstab.out -d fstab.gpg
注意选项和参数的顺序；
生成密钥对：
~]# gpg --gen-key
查看公钥：
~]# gpg --list-key
导出公钥：
~]# gpg -a --export -o /tmp/qhdlink.pub
在其他主机导入公钥，以进行公钥加密：
~]# gpg --import /PATH/TO/qhdlink.pub
在其他主机上使用导入的公钥加密文件：
~]# gpg -e -r qhdlink.pub /PATH/TO/SOME_FILE原文地址：http://blog.51cto.com/huliheeyu/2104010
