㈠ openssl，x509，crt，cer，key，csr，ssl，tls 這些都是什麼鬼
OpenSSL：是一個抄安全套接字層密碼庫襲。
X.509：是一種非常通用的證書格式。
crt （證書文件）：客戶端認證的證書。
CER 編輯 CER有兩層意思：用於存儲公鑰證書的文件格式。
key：SSL證書鑰匙（證書密鑰）
csr：證書SSL證書前提文件（審批請求文件，裡麵包括域名、聯系人信息 ）
ssl：是為網路通信提供安全及數據完整性的一種安全協議（常見SSL證書用於HTTPS）
TLS：安全傳輸層協議（TLS）用於在兩個通信應用程序之間提供保密性和數據完整性。
總結：以上是用於SSL證書加密的專業格式文件。
㈡ SSL中，公鑰，私鑰，證書的後綴名都是些啥
SSL證書後綴
CSR – Certificate Signing Request,即證書簽名請求,這個並不是證書,而是向權威證書頒發機構獲得簽名證書的申請,其核心內容是一個公鑰(當然還附帶了一些別的信息),在生成這個申請的時候,同時也會生成一個私鑰,私鑰要自己保管好.做過iOS APP的朋友都應該知道是怎麼向蘋果申請開發者證書的吧.
KEY– 通常用來存放一個RSA 公鑰或者私鑰,並非X.509證書,編碼同樣的,可能是PEM,也可能是DER.
CRT– CRT應該是certificate的三個字母,其實還是證書的意思,常見於*NIX系統,有可能是PEM編碼,也有可能是DER編碼,大多數應該是PEM編碼。本站提供的CRT格式等同於CER,等同於PEM。
PEM – Privacy Enhanced Mail的縮寫，以文本的方式進行存儲。打開看文本格式,以」—–BEGIN…」開頭, 「—–END…」結尾,內容是編碼. 查看PEM格式證書的信息:openssl x509 -in certificate.pem -text -noout Apache和*NIX伺服器偏向於使用這種編碼格式.
CER– 還是certificate,還是證書,常見於Windows系統,同樣的,可能是PEM編碼,也可能是DER編碼,大多數應該是DER編碼.
DER – Distinguished Encoding Rules的縮寫，以二進制方式進行存儲，文件結構無法直接預覽，查看DER格式證書的信息:openssl x509 -in certificate.der -inform der -text -noout Java和Windows伺服器偏向於使用這種編碼格式.
PFX/P12 – predecessor of PKCS#12,對*nix伺服器來說,一般CRT和KEY是分開存放在不同文件中的,但Windows的IIS則將它們存在一個PFX文件中,(因此這個文件包含了證書及私鑰)這樣會不會不安全？應該不會,PFX通常會有一個」提取密碼」,你想把裡面的東西讀取出來的話,它就要求你提供提取密碼,PFX使用的時DER編碼,如何把PFX轉換為PEM編碼？
JKS – 即Java Key Storage,這是Java的專利,跟OpenSSL關系不大,利用Java的一個叫」keytool」的工具,可以將PFX轉為JKS,當然了,keytool也能直接生成JKS。
㈢ openssl 怎樣生成公鑰和密鑰 x509格式
在ubuntu上要使用openssl的話需要先進行安裝，命令如下：
sudo apt-get install openssl
安裝完成就可以使用openssl了。
首先需要進入openssl的交互界面，在命令行了輸入openssl即可；
1）生成RSA私鑰：
genrsa -out rsa_private_key.pem 1024
該命令會生成1024位的私鑰，生成成功的界面如下：
此時我們就可以在當前路徑下看到rsa_private_key.pem文件了。
2）把RSA私鑰轉換成PKCS8格式
輸入命令pkcs8 -topk8 -inform PEM -in rsa_private_key.pem -outform PEM –nocrypt，並回車
得到生成功的結果，這個結果就是PKCS8格式的私鑰，如下圖：
3) 生成RSA公鑰
輸入命令rsa
-in rsa_private_key.pem -pubout -out rsa_public_key.pem，並回車，
得到生成成功的結果，如下圖：
此時，我們可以看到一個文件名為rsa_public_key.pem的文件，打開它，可以看到-----BEGIN
PUBLIC KEY-----開頭，
-----END PUBLIC KEY-----結尾的沒有換行的字元串，這個就是公鑰。
㈣ 如何使用OpenSSL創建證書
為一個基於密碼學的安全開發包，OpenSSL提供的功能相當強大和全面，囊括了主要的密碼演算法、常用的密鑰和證書封裝管理功能以及SSL協議，並提供了豐富的應用程序供測試或其它目的使用。
1.對稱加密演算法
OpenSSL一共提供了8種對稱加密演算法，其中7種是分組加密演算法，僅有的一種流加密演算法是RC4。這7種分組加密演算法分別是AES、DES、Blowfish、CAST、IDEA、RC2、RC5，都支持電子密碼本模式（ECB）、加密分組鏈接模式（CBC）、加密反饋模式（CFB）和輸出反饋模式（OFB）四種常用的分組密碼加密模式。其中，AES使用的加密反饋模式（CFB）和輸出反饋模式（OFB）分組長度是128位，其它演算法使用的則是64位。事實上，DES演算法裡面不僅僅是常用的DES演算法，還支持三個密鑰和兩個密鑰3DES演算法。
2.非對稱加密演算法
OpenSSL一共實現了4種非對稱加密演算法，包括DH演算法、RSA演算法、DSA演算法和橢圓曲線演算法（EC）。DH演算法一般用戶密鑰交換。RSA演算法既可以用於密鑰交換，也可以用於數字簽名，當然，如果你能夠忍受其緩慢的速度，那麼也可以用於數據加密。DSA演算法則一般只用於數字簽名。
3.信息摘要演算法
OpenSSL實現了5種信息摘要演算法，分別是MD2、MD5、MDC2、SHA（SHA1）和RIPEMD。SHA演算法事實上包括了SHA和SHA1兩種信息摘要演算法，此外，OpenSSL還實現了DSS標准中規定的兩種信息摘要演算法DSS和DSS1。
4.密鑰和證書管理
密鑰和證書管理是PKI的一個重要組成部分，OpenSSL為之提供了豐富的功能，支持多種標准。
首先，OpenSSL實現了ASN.1的證書和密鑰相關標准，提供了對證書、公鑰、私鑰、證書請求以及CRL等數據對象的DER、PEM和BASE64的編解碼功能。OpenSSL提供了產生各種公開密鑰對和對稱密鑰的方法、函數和應用程序，同時提供了對公鑰和私鑰的DER編解碼功能。並實現了私鑰的PKCS#12和PKCS#8的編解碼功能。OpenSSL在標准中提供了對私鑰的加密保護功能，使得密鑰可以安全地進行存儲和分發。
在此基礎上，OpenSSL實現了對證書的X.509標准編解碼、PKCS#12格式的編解碼以及PKCS#7的編解碼功能。並提供了一種文本資料庫，支持證書的管理功能，包括證書密鑰產生、請求產生、證書簽發、吊銷和驗證等功能。
事實上，OpenSSL提供的CA應用程序就是一個小型的證書管理中心（CA），實現了證書簽發的整個流程和證書管理的大部分機制。
5.SSL和TLS協議
OpenSSL實現了SSL協議的SSLv2和SSLv3，支持了其中絕大部分演算法協議。OpenSSL也實現了TLSv1.0，TLS是SSLv3的標准化版，雖然區別不大，但畢竟有很多細節不盡相同。
雖然已經有眾多的軟體實現了OpenSSL的功能，但是OpenSSL裡面實現的SSL協議能夠讓我們對SSL協議有一個更加清楚的認識，因為至少存在兩點：一是OpenSSL實現的SSL協議是開放源代碼的，我們可以追究SSL協議實現的每一個細節；二是OpenSSL實現的SSL協議是純粹的SSL協議，沒有跟其它協議（如HTTP）協議結合在一起，澄清了SSL協議的本來面目。
6.應用程序
OpenSSL的應用程序已經成為了OpenSSL重要的一個組成部分，其重要性恐怕是OpenSSL的開發者開始沒有想到的。現在OpenSSL的應用中，很多都是基於OpenSSL的應用程序而不是其API的，如OpenCA，就是完全使用OpenSSL的應用程序實現的。OpenSSL的應用程序是基於OpenSSL的密碼演算法庫和SSL協議庫寫成的，所以也是一些非常好的OpenSSL的API使用範例，讀懂所有這些範例，你對OpenSSL的API使用了解就比較全面了，當然，這也是一項鍛煉你的意志力的工作。
OpenSSL的應用程序提供了相對全面的功能，在相當多的人看來，OpenSSL已經為自己做好了一切，不需要再做更多的開發工作了，所以，他們也把這些應用程序成為OpenSSL的指令。OpenSSL的應用程序主要包括密鑰生成、證書管理、格式轉換、數據加密和簽名、SSL測試以及其它輔助配置功能。
7.Engine機制 Engine機制的出現是在OpenSSL的0.9.6版的事情，開始的時候是將普通版本跟支持Engine的版本分開的，到了OpenSSL的0.9.7版，Engine機制集成到了OpenSSL的內核中，成為了OpenSSL不可缺少的一部分。 Engine機制目的是為了使OpenSSL能夠透明地使用第三方提供的軟體加密庫或者硬體加密設備進行加密。OpenSSL的Engine機製成功地達到了這個目的，這使得OpenSSL已經不僅僅使一個加密庫，而是提供了一個通用地加密介面，能夠與絕大部分加密庫或者加密設備協調工作。當然，要使特定加密庫或加密設備更OpenSSL協調工作，需要寫少量的介面代碼，但是這樣的工作量並不大，雖然還是需要一點密碼學的知識。Engine機制的功能跟Windows提供的CSP功能目標是基本相同的。目前，OpenSSL的0.9.7版本支持的內嵌第三方加密設備有8種，包括：CryptoSwift、nCipher、Atalla、Nuron、UBSEC、Aep、SureWare以及IBM 4758 CCA的硬體加密設備。現在還出現了支持PKCS#11介面的Engine介面，支持微軟CryptoAPI的介面也有人進行開發。當然，所有上述Engine介面支持不一定很全面，比如，可能支持其中一兩種公開密鑰演算法。
8.輔助功能
BIO機制是OpenSSL提供的一種高層IO介面，該介面封裝了幾乎所有類型的IO介面，如內存訪問、文件訪問以及Socket等。這使得代碼的重用性大幅度提高，OpenSSL提供API的復雜性也降低了很多。
OpenSSL對於隨機數的生成和管理也提供了一整套的解決方法和支持API函數。隨機數的好壞是決定一個密鑰是否安全的重要前提。
OpenSSL還提供了其它的一些輔助功能，如從口令生成密鑰的API，證書簽發和管理中的配置文件機制等等。如果你有足夠的耐心，將會在深入使用OpenSSL的過程慢慢發現很多這樣的小功能，讓你不斷有新的驚喜。
㈤ 如何使用OpenSSL工具生成根證書與應用證書
使用OpenSSL工具生成根證書與應用證書方法：
1、生成頂級CA的公鑰證書和私鑰文件，有效期10年（RSA 1024bits，默認） openssl req -new -x509 -days 3650 -keyout CARoot1024.key -out CARoot1024.crt
2、 為頂級CA的私鑰文件去除保護口令 openssl rsa -in CARoot1024.key -out CARoot1024.key
3、 生成頂級CA的公鑰證書和私鑰文件，有效期15年（RSA 2048bits，指定） openssl req -newkey rsa:2048 -x509 -days 5480 -keyout CARoot2048.key -out CARoot2048.crt
4、 為頂級CA的私鑰文件去除保護口令 openssl rsa -in CARoot2048.key -out CARoot2048.key
5、 為應用證書/中級證書生成私鑰文件 openssl genrsa -out app.key 2048
6、 根據私鑰文件，為應用證書/中級證書生成 csr 文件（證書請求文件） openssl req -new -key app.key -out app.csr
7、 使用CA的公私鑰文件給 csr 文件簽名，生成應用證書，有效期5年 openssl ca -in app.csr -out app.crt -cert CARoot1024.crt -keyfile CARoot1024.key -days 1826 -policy policy_anything
8、 使用CA的公私鑰文件給 csr 文件簽名，生成中級證書，有效期5年 openssl ca -extensions v3_ca -in app.csr -out app.crt -cert CARoot1024.crt -keyfile CARoot1024.key -days 1826 -policy policy_anything
以上是生成根證書與應用證書過程中要用到的所有命令，根據生成目標不同，分為三組。其中，前面兩組都用於生成自簽名的頂級CA（區別只在於密鑰長度不同），實際應用中只需根據需求選擇一組即可。 最後一組用於生成非自簽名的證書，包括中級證書與應用證書。所謂中級證書，是具有繼續頒發下級證書許可權的子CA，而本文中所說的應用證書，特指不能用來繼續頒發下級證書，只能用來證明個體身份的證書。頂級CA在簽發二者的時候，只是多少一個 -extensions v3_ca 選項的區別，這個選項賦予被簽發的證書繼續簽發下級證書的權力。
㈥ 使用openssl生成的公鑰和證書申請中的公鑰是一樣的嗎
你可以試試 openssl x509 -in 證書 -pubkey命令看看是不是同一個公鑰。證書裡面的信息不僅包含公鑰。以下抄襲自網路所有的X.509證書包含以下數據：1、X.509版本號：指出該證書使用了哪種版本的X.509標准，版本號會影響證書中的一些特定信息。目前的版本是3。2、證書持有人的公鑰：包括證書持有人的公鑰、演算法(指明密鑰屬於哪種密碼系統)的標識符和其他相關的密鑰參數。3、證書的序列號：由CA給予每一個證書分配的唯一的數字型編號，當證書被取消時，實際上是將此證書序列號放入由CA簽發的CRL（Certificate Revocation List證書作廢表，或證書黑名單表）中。這也是序列號唯一的原因。4、主題信息：證書持有人唯一的標識符(或稱DN-distinguished name)這個名字在 Internet上應該是唯一的。DN由許多部分組成，看起來象這樣：CN=Bob Allen, OU=Total Network Security DivisionO=Network Associates, Inc.C=US這些信息指出該科目的通用名、組織單位、組織和國家或者證書持有人的姓名、服務處所等信息。5、證書的有效期：證書起始日期和時間以及終止日期和時間；指明證書在這兩個時間內有效。6、認證機構：證書發布者，是簽發該證書的實體唯一的CA的X.509名字。使用該證書意味著信任簽發證書的實體。(注意：在某些情況下，比如根或頂級CA證書，發布者自己簽發證書)7、發布者的數字簽名：這是使用發布者私鑰生成的簽名，以確保這個證書在發放之後沒有被撰改過。8、簽名演算法標識符：用來指定CA簽署證書時所使用的簽名演算法。演算法標識符用來指定CA簽發證書時所使用的公開密鑰演算法和HASH演算法。