常用OpenSSL命令

January 14, 2024

If you're looking for a more in-depth and comprehensive look at OpenSSL,
we recommend you check out the OpenSSL Cookbook by Ivan Ristić.

检查版本

目前 OpenSSL 主要有 1.x 和 3.x 的版本，主要区别在于 1.x 只支持 TLS<=1.2

某些 linux 发行版可能自带 LibreSSL （即 openssl 命令实际调用 libressl）而不是 OpenSSL

windows可下参见微软的文档安装，或安装微软预编译的二进制文件或者也使用 git for windows 自带的 openssl，一般位于 C:\Program Files\Git\usr\bin\openssl.exe

openssl version -a

输出如下

OpenSSL 版本
built on: 编译时间
platform: 平台
options:  编译选项
compiler: 编译器命令
OPENSSLDIR: 配置目录

生成私钥

本文只包括最广泛使用的 RSA 算法，长度为 2048

# 生成 RSA 私钥
openssl genrsa -out private.key 2048

# 查看该密钥内容
openssl rsa -text -in private.key -noout

上述私钥实际上包含了私钥和公钥，使用如下命令提取出公钥：

openssl rsa -in private.pem -outform PEM -pubout -out public.pem

生成 CSR

openssl req -new -key public.key -out yourdomain.csr

该命令会交互式地提示使用者回答问题，如下：
可直接回车置空，缺失值也会从 OPENSSLDIR 目录的配置文件读取。

prompt
Country Name (2 letter code)	公司所在地的两字母国家/地区代码
State or Province Name (full name)	公司所在地的州/省全名
Locality Name (e.g., city)	公司所在地的城市名
Organization Name (e.g., company)	公司的合法注册名称（例如 YourCompany, Inc.）
Organizational Unit Name (e.g., section)	组织内部部门的名称
Common Name (e.g., server FQDN)	fully-qualified domain name（FQDN）（例如 www.example.com）
Email Address	电子邮件地址
A challenge password
An optional company name

或使用 -subj 选项输入，而不是交互式：

openssl req -new -key public.key -out yourdomain.csr \
-subj "/C=US/ST=Utah/L=Lehi/O=Your Company, Inc./OU=IT/CN=yourdomain.com"

亦或一步到位生成私钥和 CSR：

openssl req -new \
-newkey rsa:2048 -nodes -keyout private.key \
-out yourdomain.csr \
-subj "/C=US/ST=Utah/L=Lehi/O=Your Company, Inc./OU=IT/CN=yourdomain.com"

最后验证 CSR 文件：

openssl req -text -in yourdomain.csr -noout -verify

签名证书

下面我们使用私钥，接受 CSR 请求，生成自签名证书（365 天有效期）。

openssl x509 -req -days 365 -in yourdomain.csr -signkey private.key -out server.crt

有效的正式证书需要我们发送 CSR 文件，交由 CA 签名，总之最终得到 PEM 格式的证书。

得到证书后，查看证书信息：

openssl x509 -text -in yourdomain.crt -noout

验证密钥是否匹配

openssl pkey -pubout -in private.key | openssl sha256
openssl req -pubkey -in yourdomain.csr -noout | openssl sha256
openssl x509 -pubkey -in server.crt -noout | openssl sha256

得到的值应都相同

格式转换

# PEM to PKCS#12
openssl pkcs12 -export -name "yourdomain-digicert-(expiration date)" \
-out yourdomain.pfx -inkey yourdomain.key -in yourdomain.crt

# PKCS#12 to PEM(private key)
openssl pkcs12 -in yourdomain.pfx -nocerts -out yourdomain.key -nodes

# PKCS#12 to PEM(certificate)
openssl pkcs12 -in yourdomain.pfx -nokeys -clcerts -out yourdomain.crt

# PEM(private key) to DER(private key)
openssl rsa -inform PEM -in yourdomain.key -outform DER -out yourdomain_key.der

# PEM(certificate) to DER(certificate)
openssl x509 -inform PEM -in yourdomain.crt -outform DER -out yourdomain.der

# DER(private key) to PEM(private key)
openssl rsa -inform DER -in yourdomain_key.der -outform PEM -out yourdomain.key

# DER(certificate) to PEM(certificate)
openssl x509 -inform DER -in yourdomain.der -outform PEM -out yourdomain.crt

参见

←Back to home