linuxopenssl（linuxopenssl更新）

本篇文章给大家谈谈linuxopenssl，以及linuxopenssl更新对应的知识点，希望对各位有所帮助，不要忘了收藏本站喔。

本文目录一览：

• 1、linux 中 openssl 怎么开启
• 2、Linux里面openss-devel是什么？
• 3、Linux升级openssl时遇到的奇怪错误
• 4、Linux里面openssl作用是什么？
• 5、linux-openssl命令行
• 6、linux下使用openssl检测PE文件数字签名的证书是否有效

linux 中 openssl 怎么开启

如果装没唤了openssl package，就隐察物会有openssl命令

man openssl看灶液说明

或者你自己编程

[img]

Linux里面openss-devel是什么？

Redhat在封装openssl的时候，把openssl分成了几个部分，执行码部分就是 openssl-1.0.0-27.el6.x86_64 这种包。

openssl-devel-1.0.0-27.el6.x86_64 这个就是包含了头文件，头文件参考，某些库文件等跟开发相关的东西。

mod_ssl-2.2.15-26.el6.x86_64 这个不是open ssl 本身的东西，是apache的模块。

你在上下载的源码编译安装后得到的东西就是openssl-1.0.0-27.el6.x86_64和openssl-devel-1.0.0-27.el6.x86_64这两个包加在一起的内容。

另外，OpenSSL是分系列的，每个系列下再分版本 a b c d e。。。。颂春

目前常用的是 0.9.8 1.0.0 1.0.1 三个系列。

RHEL 6.4 是openssl 1.0.0 系列的版本。

RHEL 6.5 是 openssl 1.0.1 系列的版本。

Redhat 提供的openssl升级包的版本一般是 openssl-1.0.0-27.el6.X.x86_64.rpm 这种。 Redhat 会把OpenSSL发布的补丁整合到现有版本中去，叫做backport。

例如，RHEL 6.4 目前的最新的基差OpenSSL就是2014-06-05发布的 openssl-1.0.0-27.el6_4.4.x86_64.rpm 和 openssl-devel-1.0.0-27.el6_4.4.x86_64.rpm

RHEL 6.5 则是2014-08-13发布的 openssl-1.0.1e-16.el6_5.15.x86_64.rpm 和搏樱皮 openssl-devel-1.0.1e-16.el6_5.15.x86_64.rpm。

因为不同系列的OpenSSL，存在的安全漏洞或者BUG不一定相同，所以版本要根据系列来判断。

Linux升级openssl时遇到的奇怪错误

服务器系统为centos6.5 想对系统的openssl进行升级 于是开始安装，最樱拆先开始安装的脊蔽枣是1.1.1-pre8 后来将其删除重新安装1.1.1b。安装过程中出现了奇怪的问题

具体如下：

建立openssl硬链接时，同时建立一个openssl 和 testopenssl

运行命令 ls -li|grep ssl后可以看到这两个硬链接对应了同样的 inode 796072

如图1：

可是在运行 openssl version 和 testopenssl version时确出现了 奇怪的现象 图2

得到的运行结果居然不同 其中1.1.1b为目前安装的版本 1.1.1-pre8为之前试安装的版本

实在不明白原因是什么

附:在卸载1.1.1-pre8时 把/usr/bin/openssl 软链接删除后 发现openssl软链接仍然可以使用 当时就觉得非常奇怪

图3 甚至将usr/bin 下对应的链接文件换回系统默认的openssl后 仍然找到的是之前安装的1.1.1-pre8版本

后来安装git时 报错好像也与openssl有关

这个奇怪的错误已然成为本系统中的一个并档毒瘤了！！！

今天 了解到了 bashrc profile 文件 怀疑 可能将openssl配置到了 这类文件里面

参考

缘由卸载git 后 发现使用 git version 仍能显示版本号

Linux里面openssl作用是什么？

主要是用来安全的。

openssl命令 – 加密算法

openSSL是一个强大的安全套接字如散毕层密码库，囊括主要的密码算法、常用的密钥和证书封装管理功能及SSL协议，并提供丰富的应用程序供测试或其它目的使用。对应的渣芹命令就是openssl命令，用于加密算法。《Linux就该这么学》

语法格掘蔽式：openssl [参数]

举例子：

用SHA1算法计算文件file.txt的哈西值，输出到stdout：

# openssl dgst -sha1 file.txt

linux-openssl命令行

title: linux-openssl

date: 2020-09-16 11:02:15

categories:

{% note info %}

OpenSSL是一个健壮的、商业级的、功能齐全的开源工具包，用于传输层安全(TLS)协议，以前称为安全套接字层(Secure Sockets Layer, SSL)协议。协议实现基于全强度通用密码库，也可以单独使用。

openssl是一个功能丰富且自包含的开源安全工具箱。它提供的主要功能有：SSL协议实现(包括SSLv2、SSLv3和TLSv1)、大量软算法(对称/非对称/摘要)、大数运算、非对称算法密和枯钥生成、ASN.1编解码库、证书请求(PKCS10)编解码、数字证书编解码、CRL编解码、OCSP协议、数字证书验证、PKCS7标准唤困洞实现和PKCS12个人数字证书格式实现等功能。

span style="color:red;"项目地址/span span style="color:red;"官方网址/span span style="color:red;"手册/span

{% endnote %}

{% tabs configtab, 1 %}

对称算法使用一个密钥。给定一个明文和一个密钥，加密产生密文，其长度和明文大致相同。解密时，使用读密钥与加密密钥相同。

ECB\CBC\CFB\OFB

摘要算法是一种能产生特殊输出格式的算法，这种算法的特点是：无论用户输入什么长度的原始数据，经过计算后输出的密文都是固定长度的，这种算法的原理是根据一定的运算规则对原数据进行某种形式的提取，这种提取就是摘要，被摘要的数据内容与原数据有密切联系，只要原数据稍有改变，输出的“摘要”便完全不同，因此，基于这种原理的算法便能对数据完整性提供较为健全的保障。但是，由于输出的密文是提取原数据经过处理的定长值，所以它已经不能还原为原数据，即消息摘要算法是不可逆的，理论上无法通过反向运算取得原数据内容，因此它通常只能被用来做数据完整性验证。

如今常用的“消息摘要”算法经历了多年验证发展而保留下来的算法已经不多，这其中包括MD2、MD4、MD5、SHA、SHA-1/256/383/512等。

常用的摘要算法主要有MD5和SHA1。MD5的输出结果为16字节，sha1的输出结果为20字节。

在公钥密码系统中，加密和解密使用的是不同的密钥，这两个密钥之间存在着相互依存关系：即用其中任一个密钥加密的信息只能用另一个密钥进行解密。这使得通信双方无需事先交换密钥就可进行保密通信。其中加密密钥和算法是对外公开的，人人都可以通过这个密钥加密文件然后发给收信者，这个加密密钥又称为公钥；而收信者收到加密文件后,它可以使用他的解密密钥解密，这个密钥是由他自己私人掌管的，并不需要分发，因此又成称为私钥，这就解决了密钥分发的问题。

主要的公钥算法有：RSA、DSA、DH和ECC。

Openssl中大量用到了回调函数。回调函数一般定义在数据结构中，是一个函数指针。通过回调函数，客户可以自行编写函数，让openssl函数来调用它，即用户调用openssl提供的函数，openssl函数再回调用户提供的函数。这样方便了尺判用户对openssl函数操作的控制。在openssl实现函数中，它一般会实现一个默认的函数来进行处理，如果用户不设置回调函数，则采用它默认的函数。

{% endtabs %}

linux下使用openssl检测PE文件数字签名的证书是否有效

第一个坑: 有效期

windows在判断证书是否有效时不检测证书的有效期, 即使该证书超过有效期好几年了, 只要没有被吊销, 微软仍然认为它是有效的. 但在 openssl 提供的 X509_verify_cert 函数会验证证书的有效期, 因此需要注释掉验证有效期的那部分代码并重新编译 openssl...

OK, 从 openssl 官网 上下载最新的版本, 好吧, 现在还是刚刚修复 Heartbleed 漏洞的 1.0.1g 版本...

下载, 解压, 看下 INSTALL 文档, 先试试可以编译不:

./config

make

运伏梁孝缺稿气不错, 不用安装什么依赖直接编译成功. 将代码根目录产生的 libcrypto.a 添加到项目中测试渣衡下, OK, 可以使用, 下面开始折腾了~

在 crypto/x509/x509_vfy.c 的 153 行找到 X509_verify_cert 函数(在线查看), 局部变量 ok 缓存每一步验证是否通过, 它依次调用了:

check_issued

check_chain_extensions

check_name_constraints

check_trust

check_revocation

internal_verify

check_policy

其中 internal_verify (在线查看)验证了证书的有效期, 进入这个函数, 在 1654 行找到这个代码:

ok = check_cert_time(ctx, xs);

if (!ok)

goto end;

看看 check_cert_time 函数, 确认是检查 notBefore 和 notAfter, 因此将上面三行代码注释掉, 验证证书时就不会检测有效期了.

然后就是重新编译 openssl, 将 libcrypto.a 集成到项目里了~

第二个坑: unhandled critical extension

搜索了下, 在 openssl 官网上找到这个:

-ignore_critical

Normally if an unhandled critical extension is present which is not supported by OpenSSL the certificate is rejected (as required by RFC5280). If this option is set critical extensions are ignored.

原来是当openssl遇到证书中有它不支持的 未处理的关键扩展(unhandled critical extension ?) 时, 它会拒绝加载该证书.

再搜索下 -ignore_critical, 在 verify.c 中找到如下代码片段:

else if (strcmp(*argv,"-ignore_critical") == 0)

vflags |= X509_V_FLAG_IGNORE_CRITICAL;

然后再使用 X509_STORE_set_flags 函数设置标志位:

X509_STORE *ctx;

...

X509_STORE_set_flags(ctx, vflags);

即可.

第三个坑: certificate signature failure

这个坑填不上了, openssl 说:

7 X509_V_ERR_CERT_SIGNATURE_FAILURE: certificate signature failure

the signature of the certificate is invalid.

在windows下导出证书文件, 直接用 openssl 验证, 在加载证书就会出错, PEM_read_bio_X509 返回为空....

第四个坑: A certificate was explicitly revoked by its issuer.

A certificate was explicitly revoked by its issuer. 是 Sysinternals 提供的工具sigcheck.exe 的检测结果, 把文件拎出来一看, 证书真的被撤销了...

OK, 只好根据证书上的 CRL Distribution Point(CRL 分发点) 提供的 URL 下载 撤销证书列表 文件, 然后在调用 X509_verify_cert 验证证书链之前, 设置填充被撤销的证书列表:

X509_CRL *d2i_X509_CRL_fp(FILE *fp, X509_CRL **crl); // 读取被撤销的证书列表

STACK_OF(X509_CRL) *sk_X509_CRL_new_null();

#define sk_X509_CRL_push(st, val) SKM_sk_push(X509_CRL, (st), (val)); // sk_X509_CRL_push(STACK_OF(X509_CRL) *crls, X509_CRL *crl);

void X509_STORE_CTX_set0_crls(X509_STORE_CTX *c, STACK_OF(X509_CRL) *sk); // 设置被撤销的证书列表

同时, 也要设置检查被撤销证书列表的标志位 X509_V_FLAG_CRL_CHECK, 然后再调用X509_verify_cert 验证证书链即可.

填了第四个坑后又引起了第五个坑(如何获取撤销证书列表)和第六个坑(设置检测撤销证书列表的标识位后, 如果该证书没有撤销证书列表则直接报错)...

第五个坑: 获取撤销证书列表文件

证书上的 CRL Distribution Point(CRL 分发点) 属于扩展属性, 在 PKCS #7: Cryptographic Message Syntax V1.5 上没有相关介绍.

在 StackOverflow 上找到这个问答 Openssl - How to check if a certificate is revoked or not, 其中第二个回答说 CRL 是在 RFC 5280 中定义的, 除了证书中附带被撤销的证书列表以外还有使用 OCSP 协议的, 即使证书撤销列表也分为使用 URL分发点和 LDAP DNs(???)提供的, 目前先考虑使用 URL 作为 CRL分发点 的情况吧.

然而 openssl 没有提供直接获取 CRL 分发点 URL 的API, 那个回答说 Apache 的 mod_ssl 模块有本地 CRL 和 OCSP 检测的实现代码, 但没有说明哪里有检测使用 URL 作为 CRL分发点 的实现方法.

然后又在 frank4dd.com上找到这个代码 certextensions.c, 他给出了一个如何使用 openssl 从 X.509v3 版本的证书文件中提取扩展内容的示例程序, 太感谢 Frank4DD 这位仁兄了~~~

到这里后, 可以直接使用他的示例程序, 根据关键字 Full Name 和 URI 定位 CRL 分发点 的 URL, 也可以看看 openssl 是如何提取这个 URL 的, 然后自己实现一个接口.

如果自作孽使用第二种方法的话, 就编译个 debug 版的 openssl 库, 然后调试跟进X509V3_EXT_print 函数, 一步一步的向下走, 直到走到 GENERAL_NAME_print 函数, 这里就是终点了...然后就知道了 CRL 分发点 的 URL 的编号为 6, 也就是 GEN_URI, 直接取结果吧.

第六个坑: CRL有效期

在windows环境下每次查看PE文件的数字签名时, windows 都会从 CRL分发点 下载吊销证书列表做验证,　一般来说, 每个 CRL的有效期是非常短的，　大概只有　5~20 天的有效期吧, 然而我们不可能像 windows 一样每次查看数字签名时就从　CRL分发点　下载最新的吊销列表．

另外, windows 遇到过期的 CRL 时不会产生证书链无效的结果, 但 openssl 在遇到过期的 CRL 时就会导致证书链验证失败, 因此在加载和验证 CRL 时, 要忽略 CRL 的有效期.

分析 openssl 源代码, X509_verify_cert 调用 check_revocation , 之后调用 check_cert , 然后再调用 check_crl , 在这个函数里有检测 CRL 有效期的代码:

if (!(ctx-current_crl_score CRL_SCORE_TIME))

{

ok = check_crl_time(ctx, crl, 1);

if (!ok)

goto err;

}

将其注释掉即可忽略检测 CRL 有效期.

第七个坑: CRL 列表为空导致 openssl 认为没有加载 CRL

9 初始化顺序

10 证书名: key_id

关于linuxopenssl和linuxopenssl更新的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。