OpenSSL 명령줄 핵심

"openssl version -a" 명령어는 OpenSSL 버전, 빌드 날짜, 컴파일러 및 구성된 옵션을 표시합니다. OpenSSL 1.0.x, 1.1.x, 3.x 사이에는 암호화 기능과 기본값이 크게 다르므로 버전을 확인하는 것이 중요합니다. 보안을 위해 최신 버전에서는 오래된 알고리즘이 기본적으로 비활성화되어 있는 경우가 많습니다.

"openssl genrsa -out private.pem 4096" 명령어는 PEM 형식의 4096비트 RSA 개인 키를 생성합니다. 운영 환경에서는 2048비트가 최소 기준이고, 3072비트는 약 128비트 보안을 제공하며, 4096비트는 추가적인 여유를 제공합니다. 명령어에 "-aes256"을 추가하면 저장 중인 키를 AES로 암호화할 수 있으며, 암호 문구를 입력하라는 메시지가 표시됩니다.

타원 곡선 키는 두 단계로 생성합니다. 먼저 "openssl ecparam -name prime256v1 -genkey -noout -out ec_private.pem" 명령어로 P-256 곡선을 사용하는 EC 개인 키를 생성합니다. 다른 방법으로는 최신 genpkey 인터페이스를 사용하는 "openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out ec_private.pem" 명령어가 있으며, 새 코드에 사용하는 방법으로 권장됩니다.

RSA 키의 경우 "openssl rsa -text -noout -in private.pem" 명령어로 키 내용을 검사할 수 있으며, 모듈러, 공개 지수 및 소인수가 표시됩니다. EC 키의 경우 "openssl ec -text -noout -in ec_private.pem" 명령어로 곡선 이름과 키 값을 표시할 수 있습니다. "-noout" 플래그는 PEM으로 인코딩된 출력을 억제합니다.

OpenSSL은 암호학적으로 안전한 무작위 바이트를 생성할 수 있습니다. "openssl rand -hex 32" 명령어는 32개의 무작위 바이트를 16진수로 출력하며, 이는 16진수 문자 64개에 해당하고 대칭 키나 논스를 생성하는 데 적합합니다. "openssl rand -base64 32" 명령어는 무작위 바이트를 base64로 인코딩하여 출력합니다. 이 기능은 OS 엔트로피 소스(Unix 시스템의 /dev/urandom)를 사용합니다.

"openssl dgst" 명령은 메시지 다이제스트를 계산합니다. "openssl dgst -sha256 file.txt"는 파일의 SHA-256 해시를 계산합니다. "openssl dgst -sha256 -hmac key file.txt"는 HMAC-SHA256을 계산합니다. "openssl dgst -sha256 -sign private.pem -out sig.bin file.txt"는 파일에 대한 디지털 서명을 생성합니다.

대칭 키를 사용하는 파일 암호화에는 "openssl enc -aes-256-cbc -pbkdf2 -in plaintext.txt -out encrypted.bin"을 사용합니다. "-pbkdf2" 플래그는 암호 구문에서 키를 파생할 때 PBKDF2를 사용하며, 더 이상 사용되지 않는 EVP_BytesToKey를 대체합니다. 복호화에는 "openssl enc -d -aes-256-cbc -pbkdf2 -in encrypted.bin -out decrypted.txt"를 사용합니다. 새 코드에서는 AES-256-GCM과 같은 AEAD 모드를 선호합니다.

인증서와 키는 두 가지 인코딩 형식으로 존재합니다. PEM은 헤더와 푸터 줄(-----BEGIN CERTIFICATE-----)이 있는 Base64 인코딩 형식으로, 대부분의 Unix 도구에서 사용됩니다. DER은 이진 인코딩 형식으로, Java와 Windows에서 사용됩니다. PEM을 DER로 변환하려면 "openssl x509 -inform PEM -outform DER -in cert.pem -out cert.der"를 사용합니다. DER을 PEM으로 변환하려면 -inform 및 -outform 플래그를 반대로 지정합니다.

디지털 서명은 "openssl dgst -sha256 -verify public.pem -signature sig.bin file.txt"로 검증합니다. 먼저 공개 키를 추출해야 합니다: "openssl rsa -pubout -in private.pem -out public.pem". 인증서 기반 검증에는 "openssl verify -CAfile ca.pem cert.pem"을 사용하여 지정한 CA 체인을 기준으로 인증서를 확인합니다.

인증서 검사는 가장 일반적인 OpenSSL 작업 중 하나입니다. "openssl x509 -text -noout -in cert.pem"은 주체, 발급자, 유효 날짜, SAN, 확장 기능을 비롯한 모든 인증서 항목을 표시합니다. "openssl x509 -enddate -noout -in cert.pem"은 만료 날짜만 표시하므로 모니터링 스크립트에서 유용합니다.

"openssl s_client -connect example.com:443 -servername example.com"은 TLS 연결을 설정하고 서버의 인증서 체인, 협상된 TLS 버전 및 암호 스위트를 표시합니다. "-showcerts"를 추가하면 체인의 모든 인증서가 표시됩니다. 이 명령은 인증서 체인 문제, TLS 버전 문제 및 OCSP 스테이플링 문제를 해결할 때 매우 유용합니다.

"openssl genrsa -aes256 -out private.pem 2048" 명령은 무엇을 수행합니까?

OpenSSL은 키 생성(genrsa, genpkey), 형식 변환(PEM/DER), 무작위 데이터 생성(rand), 해시 계산 및 서명(dgst), 파일 암호화(enc), 인증서 검사(x509 -text), 체인 검증(verify), TLS 문제 해결(s_client)을 위한 명령을 제공합니다. 이러한 명령은 일상적인 인증서 및 암호화 작업의 대부분을 처리합니다.