openssl 中 -nodes 参数的目的是什么？

Question

openssl 中-nodes 参数的作用是什么？

Answer 1

选项-nodes 不是英文单词“nodes”，而是“no DES”。当作为参数给出时，这意味着 OpenSSL 不会加密 PKCS#12 文件中的私钥。

要加密私钥，您可以省略-nodes，您的密钥将使用 3DES-CBC 加密。为了加密密钥，OpenSSL 会提示您输入密码，并使用该密码通过密钥派生函数EVP_BytesToKey 生成加密密钥。

根据您的 OpenSSL 版本和编译选项，您可能能够提供这些选项来代替 -nodes：

-des          encrypt private keys with DES
-des3         encrypt private keys with triple DES (default)
-idea         encrypt private keys with idea
-seed         encrypt private keys with seed
-aes128, -aes192, -aes256
              encrypt PEM output with cbc aes
-camellia128, -camellia192, -camellia256
              encrypt PEM output with cbc camellia

最终在库级别 OpenSSL 使用您选择的加密算法（或缺少加密算法）调用函数 PEM_write_bio_PrivateKey。

Answer 2

编辑： nginx v1.7.3 添加了一个ssl_password_file 指令，该指令从指定文件中读取密码短语，尝试使用上下文的encrypted-private.key上的每个密码短语p>

indiv 是正确的，-nodes 参数意味着 OpenSSL 将创建未加密的 private.key；否则，将出现创建 encrypted-private.key 的密码提示。见req、pkcs12、CA.pl

不过，我觉得目的（针对程序员）是因为：

• HTTP 服务器（例如 Apache、Nginx）在没有密码的情况下无法读取 encrypted-private.key →
  • 选项 A - 每次 HTTP 服务器启动时，必须为 encrypted-private.key 提供密码
  • 选项 B - 在 http { } 或 server { } 上下文中指定 ssl_password_file file.keys;。 [ref]
  • 选项 C - 使用 -nodes 创建不加密的 private.key

有用：锁定private.key

• { 将 HTTP 服务器添加到 ssl-cert 组 }
• sudo chown root:ssl-cert private.key - ch将 private.key 的 拥有er 授予 root 用户，ssl-cert 组
• sudo chmod 640 private.key - 将 private.key 的访问权限更改为所有者 R/W，组 R
• 现在，HTTP 服务器应该能够启动和读取未加密的 private.key

选项 A

更强大的安全性，但当服务器重新启动时，必须为 encrypted-private.key手动输入密码

选项 B

中等安全性，A/C 之间可能有很好的平衡

选项 C

较弱的安全性，但未提示输入未加密的 private.key 密码短语