OpenSSL 命令行基础

命令 "openssl version -a" 会显示 OpenSSL 版本、构建日期、编译器和已配置的选项。验证版本非常重要，因为 OpenSSL 1.0.x、1.1.x 和 3.x 之间的加密功能与默认设置存在显著差异。出于安全考虑，许多较旧的算法在较新版本中默认处于禁用状态。

命令 "openssl genrsa -out private.pem 4096" 会生成一个 PEM 格式的 4096 位 RSA 私钥。在生产环境中，2048 位是最低要求，3072 位可提供约 128 位安全性，4096 位则提供更大的安全余量。通过在命令中添加 "-aes256"，可以对静态存储的密钥进行 AES 加密，届时系统会提示您输入密码短语。

椭圆曲线密钥分两步生成。第一步："openssl ecparam -name prime256v1 -genkey -noout -out ec_private.pem" 使用 P-256 曲线生成 EC 私钥。另一种方式是使用较新的 genpkey 接口："openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out ec_private.pem"，新代码更推荐采用这种方式。

对于 RSA 密钥，可以使用 "openssl rsa -text -noout -in private.pem" 检查密钥内容，该命令会显示模数、公 exponent 和素因子。对于 EC 密钥，"openssl ec -text -noout -in ec_private.pem" 会显示曲线名称和密钥值。"-noout" 标志会禁止输出 PEM 编码内容。

OpenSSL 可以生成密码学安全的随机字节："openssl rand -hex 32" 会以十六进制输出 32 个随机字节（64 个十六进制字符），适合生成对称密钥或随机数。"openssl rand -base64 32" 会输出经过 base64 编码的随机字节。此命令使用 OS 熵源（Unix 系统中的 /dev/urandom）。

“openssl dgst”命令用于计算消息摘要：“openssl dgst -sha256 file.txt”用于计算文件的 SHA-256 哈希值。“openssl dgst -sha256 -hmac key file.txt”用于计算 HMAC-SHA256。“openssl dgst -sha256 -sign private.pem -out sig.bin file.txt”会为文件创建数字签名。

对称文件加密使用“openssl enc -aes-256-cbc -pbkdf2 -in plaintext.txt -out encrypted.bin”。“-pbkdf2”标志使用 PBKDF2 从口令派生密钥，取代已弃用的 EVP_BytesToKey。解密命令为：“openssl enc -d -aes-256-cbc -pbkdf2 -in encrypted.bin -out decrypted.txt”。对于新代码，优先使用 AES-256-GCM 等 AEAD 模式。

证书和密钥有两种编码格式。PEM 使用带有头部和尾部行的 Base64 编码（-----BEGIN CERTIFICATE-----），大多数 Unix 工具都使用这种格式。DER 是二进制编码，Java 和 Windows 使用这种格式。将 PEM 转换为 DER：“openssl x509 -inform PEM -outform DER -in cert.pem -out cert.der”。将 DER 转换为 PEM：反转 -inform/-outform 标志。

数字签名验证命令为：“openssl dgst -sha256 -verify public.pem -signature sig.bin file.txt”。必须先提取公钥：“openssl rsa -pubout -in private.pem -out public.pem”。对于基于证书的验证：“openssl verify -CAfile ca.pem cert.pem”会根据指定的 CA 链检查证书。

证书检查是最常见的 OpenSSL 任务之一：“openssl x509 -text -noout -in cert.pem”会显示所有证书字段，包括主题、颁发者、有效期日期、SAN 和扩展。“openssl x509 -enddate -noout -in cert.pem”只显示到期日期，这在监控脚本中很有用。

“openssl s_client -connect example.com:443 -servername example.com”会建立 TLS 连接，并显示服务器的证书链、协商出的 TLS 版本和密码套件。添加“-showcerts”会显示链中的所有证书。这对于排查证书链问题、TLS 版本问题和 OCSP 装订问题极其有用。

命令“openssl genrsa -aes256 -out private.pem 2048”的作用是什么？

OpenSSL 提供用于密钥生成（genrsa、genpkey）、格式转换（PEM/DER）、随机数据生成（rand）、哈希和签名（dgst）、文件加密（enc）、证书检查（x509 -text）、链验证（verify）以及 TLS 调试（s_client）的命令。这些命令涵盖了日常证书和密码学任务中的绝大多数。