如何使用命令行中的密码生成 openSSL 密钥？

Question

首先 - 如果我不提供密码会怎样？是否使用了某种伪随机短语？我只是在寻找“足够好”的东西来阻止普通黑客。

第二 - 如何从命令行生成密钥对，在命令行上提供密码？

---

我终于使用这些命令让它工作了，使用通常被认为不安全使用的 exec()，最好在文件中提供密码短语。我可以接受这个风险，因为我确信 PHP 只会在我的 PC 上执行（运行 windows 并且没有 PS 命令）。

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 2048
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

非常感谢@caf，没有他，这一切都不会发生。

只有一个遗憾 - 无论我用多少 Google 搜索，似乎没有人可以让 openssl_pkey_new() 在 Windows 上使用 Xampp（这是生成密钥对的正确方法）

Answer 1

如果您不使用密码，则私钥不会使用任何对称密码加密 - 输出时完全不受保护。

您可以生成一个密钥对，在命令行上使用如下调用提供密码（在本例中，密码为foobar）：

openssl genrsa -aes128 -passout pass:foobar 3072

但是，请注意，此密码可能被当时机器上运行的任何其他进程获取，因为命令行参数通常对所有进程可见。

更好的选择是将密码写入受文件权限保护的临时文件，并指定：

openssl genrsa -aes128 -passout file:passphrase.txt 3072

或者在标准输入上提供密码：

openssl genrsa -aes128 -passout stdin 3072

您还可以使用带有file: 选项的命名管道或文件描述符。

---

然后要获得匹配的公钥，您需要使用openssl rsa，并提供与用于加密私钥的-passin 参数相同的密码：

openssl rsa -passin file:passphrase.txt -pubout

（这需要标准输入上的加密私钥 - 您可以改为使用 -in <file> 从文件中读取它）。

---

在文件中创建 3072 位私钥和公钥对的示例，私钥对使用密码 foobar 加密：

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 3072
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

Answer 2

genrsa 一直是replaced by genpkey

鼓励使用genpkey 程序而不是算法 特定实用程序，因为附加算法选项和 ENGINE 可以使用提供的算法。

genpkey 允许您生成以下密钥类型：

• RSARSA-PSSECX25519X448ED25519ED448

在终端手动运行时会提示输入密码：

openssl genpkey -aes-256-cbc -algorithm RSA -out /etc/ssl/private/key.pem -pkeyopt rsa_keygen_bits:4096

但是，当从脚本运行时，该命令不会要求输入密码，因此为避免密码被视为进程可见，请使用 shell 脚本中的函数：

get_passwd() {
    local passwd=
    echo -ne "Enter passwd for private key: ? "; read -s passwd
    openssl genpkey -aes-256-cbc -pass pass:$passwd -algorithm RSA -out $PRIV_KEY -pkeyopt rsa_keygen_bits:$PRIV_KEYSIZE
}