21个OpenSSL示例，帮助您在现实世界中使用

使用OpenSSL创建、管理和转换SSL证书

OpenSSL是SSL中最受欢迎的命令之一，用于创建、转换和管理证书。

在许多情况下，您都需要以各种方式处理OpenSSL，因此我在这里为您列出了一个便捷的备忘单。

本文将介绍在实际应用中经常使用的OpenSSL命令，以帮助您。

一些与证书相关的缩写词。

• SSL – 安全套接字层
• CSR – 证书签名请求
• TLS – 传输层安全性
• PEM – 隐私增强邮件
• DER – Distinguished Encoding Rules
• SHA – 安全散列算法
• PKCS – 公钥密码学标准

注意: 如果您对这些术语不熟悉，SSL/TLS operation course可能会对您有所帮助。

创建新的私钥和证书签名请求

openssl req -out yaoweibin.csr -newkey rsa:2048 -nodes -keyout yaoweibin.key

上述命令将生成CSR和一个2048位RSA密钥文件。如果您打算在Apache或Nginx中使用此证书，则需要将此CSR文件发送给证书颁发机构，他们将为您提供一个签名的证书，通常以der或pem格式，您需要在Apache或Nginxweb服务器中进行配置。

创建自签名证书

openssl req -x509 -sha256 -nodes -newkey rsa:2048 -keyout gfselfsigned.key -out gfcert.pem

上述命令将生成一个带有2048位RSA的自签名证书和密钥文件。我还包含了sha256，因为它目前被认为是最安全的。

提示：默认情况下，它会生成一个有效期为一个月的自签名证书，因此您可以考虑定义–days参数来延长有效期。

例如：让自签名证书有效期为两年。

openssl req -x509 -sha256 -nodes -days 730 -newkey rsa:2048 -keyout gfselfsigned.key -out gfcert.pem

验证CSR文件

openssl req -noout -text -in yaoweibin.csr

验证非常重要，以确保您正在向颁发机构发送具有所需详细信息的CSR。

创建RSA私钥

openssl genrsa -out private.key 2048

如果您只需要生成RSA私钥，可以使用上述命令。我已经包含了2048用于更强的加密。

从密钥中删除密码

openssl rsa -in certkey.key -out nopassphrase.key

如果您在密钥文件中使用密码并且使用Apache，则每次启动时都必须输入密码。如果您厌烦输入密码，那么您可以使用上述的openssl rsa -in yaoweibin.key -check来从现有密钥中删除密码。

验证私钥

openssl rsa -in certkey.key –check

如果您怀疑您的密钥文件，可以使用上述命令进行检查。

验证证书文件

openssl x509 -in certfile.pem -text –noout

如果您想要验证证书数据，如CN、OU等，则可以使用上述命令获取证书详细信息。

验证证书签发机构

openssl x509 -in certfile.pem -noout -issuer -issuer_hash

证书颁发机构会对每个证书进行签名，如果您需要检查它们，则可以使用此命令。

检查证书的哈希值

openssl x509 -noout -hash -in bestflare.pem

将DER格式转换为PEM格式

openssl x509 –inform der –in sslcert.der –out sslcert.pem

通常，证书颁发机构将以.der格式提供SSL证书，如果您需要在apache或.pem格式中使用它们，则上述命令将对您有所帮助。

将PEM格式转换为DER格式

openssl x509 –outform der –in sslcert.pem –out sslcert.der

如果您需要将.pem格式更改为.der格式

将证书和私钥转换为PKCS#12格式

openssl pkcs12 –export –out sslcert.pfx –inkey key.pem –in sslcert.pem

如果您需要在Java应用程序或其他仅接受PKCS#12格式的应用程序中使用证书，您可以使用上述命令生成包含证书和密钥文件的单个pfx文件。

提示：您还可以通过以下方式传递-chain参数来包含链证书。

openssl pkcs12 –export –out sslcert.pfx –inkey key.pem –in sslcert.pem -chain cacert.pem

使用现有私钥创建CSR

openssl req –out certificate.csr –key existing.key –new

如果您不想创建新的私钥而是使用现有的私钥，可以使用上述命令。

检查PKCS12格式证书的内容

openssl pkcs12 –info –nodes –in cert.p12

PKCS12是一种二进制格式，您无法在记事本或其他编辑器中查看其内容。上述命令将帮助您查看PKCS12文件的内容。

将PKCS12格式转换为PEM证书

openssl pkcs12 –in cert.p12 –out cert.pem

如果您希望在Apache中使用现有的pkcs12格式或仅使用pem格式，这将非常有用。

测试特定URL的SSL证书

openssl s_client -connect yoururl.com:443 –showcerts

我经常使用这个命令来验证服务器上特定URL的SSL证书。这非常方便，可以验证协议、密码和证书详细信息。

查找OpenSSL版本

openssl version

如果您负责确保OpenSSL安全性，那么您可能首要要做的是验证版本。

检查PEM文件证书的过期日期

openssl x509 -noout -in certificate.pem -dates

如果您计划进行一些监控以检查证书的有效性，这将非常有用。它将以notBefore和notAfter语法显示日期。您将需要验证notAfter以确认证书是否过期或仍然有效。

例如：

[root@Chandan opt]# openssl x509 -noout -in bestflare.pem -dates
notBefore=Jul 4 14:02:45 2015 GMT
notAfter=Aug 4 09:46:42 2015 GMT
[root@Chandan opt]#

检查SSL URL的证书过期日期

openssl s_client -connect secureurl.com:443 2>/dev/null | openssl x509 -noout –enddate

如果您计划远程监视SSL证书的过期日期或特定URL，这将非常有用。

例如：

[root@Chandan opt]# openssl s_client -connect google.com:443 2>/dev/null | openssl x509 -noout -enddate

notAfter=Dec 8 00:00:00 2015 GMT

检查URL是否接受SSL V2或V3

检查SSL V2

openssl s_client -connect secureurl.com:443 -ssl2

检查SSL V3

openssl s_client -connect secureurl.com:443 –ssl3

检查TLS 1.0

openssl s_client -connect secureurl.com:443 –tls1

检查TLS 1.1

openssl s_client -connect secureurl.com:443 –tls1_1

检查TLS 1.2

openssl s_client -connect secureurl.com:443 –tls1_2

如果您需要验证SSL V2/V3是否已启用，您可以使用上述命令。如果已激活，您将获得“CONNECTED”，否则为“handshake failure”。

验证特定密码是否在URL上被接受

openssl s_client -cipher 'ECDHE-ECDSA-AES256-SHA' -connect secureurl:443

如果您正在处理安全问题和渗透测试结果显示接受了一些弱密码，则可以使用上述命令进行验证。

当然，您需要更改密码和URL，以便进行测试。如果接受了提到的密码，那么您将会收到“已连接”，否则为“握手失败”。

我希望上述命令可以帮助您更多了解如何使用OpenSSL来管理您网站的SSL certificates。