OpenSSL命令行工具使用技巧有哪些

OpenSSL命令行工具使用技巧分类整理

1. 基础信息查看技巧

• 查看OpenSSL版本：openssl version，快速确认工具版本，确保兼容性。
• 列出支持的命令：openssl list -standard-commands，查看OpenSSL内置的所有标准命令（如enc、req、x509等）。
• 查看支持的加密算法：openssl list -cipher-commands，获取所有可用的对称加密算法（如aes-256-cbc、aes-128-gcm等）。

2. 加密与解密技巧

• 对称加密文件：使用AES算法加密文件（-aes-256-cbc模式），并添加盐值（-salt）增强安全性：
  openssl enc -aes-256-cbc -salt -in input.txt -out encrypted.txt -k yourpassword；
  解密时使用-d参数：
  openssl enc -aes-256-cbc -d -in encrypted.txt -out decrypted.txt -k yourpassword。
• Base64编解码：加密后的二进制文件可通过-base64选项转换为文本格式，便于传输：
  加密时：openssl enc -aes-256-cbc -salt -in input.txt -out encrypted.txt -base64 -k yourpassword；
  解密时需添加-base64：openssl enc -aes-256-cbc -d -in encrypted.txt -out decrypted.txt -base64 -k yourpassword。
• 生成随机数：使用rand命令生成指定长度的随机数（-base64或-hex编码）：
  openssl rand -base64 30（30字节base64随机数）、openssl rand -hex 30（30字节hex随机数），常用于密码或密钥生成。

3. 消息摘要与哈希技巧

• 计算文件哈希：使用dgst命令计算文件的MD5、SHA1、SHA256等哈希值，用于完整性校验：
  openssl dgst -md5 file.txt、openssl dgst -sha256 file.txt；
  结果可输出到文件：openssl dgst -sha256 file.txt -out digest.txt。
• 生成HMAC：使用密钥对文件生成HMAC（如SHA256），确保数据来源可信：
  openssl dgst -sha256 -hmac "secretkey" file.txt。

4. 证书与密钥管理技巧

• 生成RSA密钥对：生成2048位的PEM格式私钥（-aes256加密私钥，需设置密码）：
  openssl genrsa -aes256 -out private_key.pem 2048；
  从私钥提取公钥：openssl rsa -in private_key.pem -pubout -out public_key.pem。
• 生成自签名证书：通过CSR（证书签名请求）生成自签名证书（有效期365天）：
  openssl req -new -x509 -key private_key.pem -out certificate.pem -days 365；
  生成CSR时可通过-subj参数简化交互：
  -subj "/C=CN/ST=Beijing/L=Chaoyang/O=MyOrg/OU=IT/CN=localhost"。
• 查看证书信息：
  • 查看完整信息（版本、序列号、颁发者、有效期等）：openssl x509 -in certificate.pem -text -noout；
  • 仅查看有效期：openssl x509 -in certificate.pem -noout -dates；
  • 仅查看颁发者：openssl x509 -in certificate.pem -noout -issuer；
  • 仅查看使用者：openssl x509 -in certificate.pem -noout -subject；
  • 查看证书指纹（SHA1）：openssl x509 -in certificate.pem -noout -fingerprint。
• 验证证书与私钥匹配：比较证书的公钥与私钥的公钥是否一致：
  openssl x509 -in certificate.pem -noout -pubkey > pubkey.pem；
  openssl rsa -in private_key.pem -pubout > pubkey_from_key.pem；
  若两者内容相同，则匹配。
• 查看证书链：若证书文件包含完整链（如fullchain.pem），可使用以下命令查看所有证书：
  openssl crl2pkcs7 -nocrl -certfile fullchain.pem | openssl pkcs7 -print_certs -noout。

5. SSL/TLS测试技巧

• 测试与服务器的SSL/TLS连接：使用s_client命令连接到目标服务器（如example.com:443），查看握手过程、服务器证书等信息：
  openssl s_client -connect example.com:443；
  强制使用指定协议版本（如TLS 1.2）：openssl s_client -connect example.com:443 -tls1_2。

6. 性能与安全优化技巧

• 使用PBKDF2增强密钥派生：对称加密时添加-pbkdf2选项，防止彩虹表攻击（默认不启用，需手动开启）：
  openssl enc -aes-256-cbc -salt -in input.txt -out encrypted.txt -k yourpassword -pbkdf2。
• 避免密码明文暴露：在脚本中使用-pass file:/path/to/password_file或-pass env:VAR_NAME（从环境变量读取），而非直接在命令行中输入密码。

7. 其他实用技巧

• 转换密钥格式：将PEM格式的私钥转换为DER格式（二进制）：
  openssl rsa -inform PEM -outform DER -in private_key.pem -out private_key.der。
• 启用命令自动补全：编辑/etc/bash.bashrc或/etc/profile.d/bash_completion.sh文件，添加OpenSSL命令的自动补全规则，提升输入效率。