加密与解密、OpenSSL(SSL/TLS)、OpenSSH(ssh)、dropbear

  1. 云栖社区>
  2. 博客>
  3. 正文

加密与解密、OpenSSL(SSL/TLS)、OpenSSH(ssh)、dropbear

技术小胖子 2017-11-08 18:36:00 浏览2020
展开阅读全文

下面介绍的是Linux的加密与解密、OpenSSL(SSL/TLS)、OpenSSH(ssh)、dropbear。


一、数据的加密与解密

1、进程间通信基础

(1)、进程间通信方式

 同一主机间进程间的通信方式:signal、shm、semaphore、message queue(MQ、RabbitMQ)。

 不同主机进程间的通信方式:socket-pair。

(2)、套接字 -------IP:PORT

  套接字Socket:IP:PORT

  套接字,是进程的地址标识,一个套接字就是指特定主机上的特定应用程序。

  三种套接字:流套接字(基于TCP协议)、数据报套接字(基于UDP协议)、裸套接字(基于底层协议)。

(3)、守护进程

 对于服务器,对套接字有监听机制,即进程的监听模式。我们就把具有这种监听模式的进程,称为守护进程,也叫服务进程。其套接字是在启动之前,向内核注册得到的,即分配了端口号。对于端口号,分为了以下4类:0(默认没有被使用)、1~1023(固定的端口)、1024~49151(注册端口)、49152~65535(动态端口)。


2、数据加密、解密基础

  数据安全的三个标志:机密性、完整性、可用性。

  数据安全的三类威胁:威胁机密性(窃听、嗅探、扫描、信息量分析)、威胁完整性(更改、伪装、重放、否认)、威胁可用性(拒绝服务)。

  数据安全的保护方法:加密解密技术。


3、加密算法

  传统的两种加密方法,有替代、置换;现代的加密方法,有块加密算法。

  常用的四种加密算法:对称加密算法、公钥加密算法、单向加密算法、密钥交换算法。

(1)、对称加密算法

  特点:加密和解密使用同一秘钥、加密的速度较快、块加密。

  缺点:对称加密,最大的缺点就是秘钥分发困难,容易泄露,其次,就是加密和解密保存的秘钥过多。

  其 6 种主流算法为:DES(56bit密钥,64bit块)、AES(128bit)、Blowfish、Twofish、IDEA、RC4/RC6。


(2)、公钥加密算法

  特点:秘钥由公钥和私钥组成、秘钥长度长(安全性高)。私钥,通过特定的工具创建生成(secret key/private key);公钥,从私钥中提取生成(public key)。

  缺点:公钥加密,秘钥较长,加密数据的时候,消耗的系统资源和时间都较多,很少用来加密大批量数据,常用来加密小数据,如秘钥等。

  用途:数字签名(身份确认)、秘钥交换、数据加密。

  其 3 种主流算法为:RSA、DSA、ELgamal。


(3)、单向加密算法

 特点:定长输出、雪崩效应。单向加密算法,只能加密,不能解密;可从数据中提取密码指纹。

 功能:保证数据的完整性。

 其 2 种主流算法为:md5(128bit定长输出)、sha系列。


(4)、秘钥交换算法 -----IKE

 秘钥交换算法,用公钥进行加密,一对主机共有4个秘钥,有两个共有的公钥,每个主机还有一个单独的私钥。每个主机用两个公钥加自己的私钥进行数据加密,解密时,解密主机再加入自己的私钥,进行解密。即,只有4个秘钥齐全才能进行解密操作,加强了数据的可靠性。


四种加密算法的联合应用示例:

  1)、通信双方互相交换证书,并到信任的CA(三方)进行证书验证;

  2)、发送方使用某种对称加密算法对数据进行【加密】;

       对加密后的数据使用【单向加密】计算其【特征值】;

       发送方再用自己的【私钥加密此特征值】,以证明数据来源的可靠;

       发送方使用接收方的证书加密对称密钥。

  3.接收方在收到数据之后,先使用自己的私钥解密对称密钥;

    然后使用发送方的公钥解密特征值;

    再利用相同的单向加密算法,重新计算加密数据的特征值。比较两个特征值,如果特征值一致,则表明数据完整;

    再用解密出来的对称密钥解密出原始数据。


CA发挥作用的步骤:

  1)、双方【交换证书】

  2)、双方协商【加密算法】

  3)、双方验证【证书真伪】 ---------检查以下四个方面

    用CA的公钥解密证书中CA的【签名】,能解密说明证书来源可靠。

    用通用的加密算法加密证书,取得【特征值】;与解密出来的特征值比较,如果相同,说明证书完整性可靠。

    检查证书的【有效期】是否在合法时间范围,如果过期则证书不被认可。

    检查证书的【主体名称】和此次通信的目标是否能够对应。


二、OpenSSL(SSL/TLS)

1、ssl/tsl简介

  ssl ---------叫做:安全的套接字层

  tsl ---------叫做:传输层安全(采用分层设计)


ssl/tsl【握手】的四个阶段:

(1)、客户端向服务器索要证书,并验证证书。(版本、算法等)

   -----------【客户端】生成一个随机数,用于生成会话秘钥。

(2)、双方协商生成会话秘钥。(版本、算法等)

   -----------【服务器】生成一个随机数,用于生成会话秘钥

(3)、进行加密通信(已生成会话秘钥)

   -----------【客户端】发送给服务器端一个随机数,用于服务器上公钥加密。

(4)、互相通告握手结束

   -----------服务器端收到【客户端】发来的一个随机数,用于发送数据并结束。


2、openssl及其组件 --------------实现加密功能

 openssl是一个开源实现ssl/tsl的标准。openssl是一个命令行工具,其使用多个子命令来实现加密解密的功能,其下的子命令有:dgst、enc、ca、req、genrsa、rand、crl、passwd、x509等。

 dgst ---------使用单向加密算法

 enc ----------使用对称加密算法

(1)、openssl enc 命令 ---------对称加密、解密

  格式:openssl enc -ciphername [-in filename] [-out filename] [-e] [-d] [-a/-base64] [-salt]

  常用选项:       

  -ciphername -------算法名称(des3、des、aes、rc4)

  -e ----------加密

  -d ----------解密

  -a/-base64 ------------纯文本格式编码

  -salt -------------盐随机

  -in filename --------------加密的文件路径

  -out filename -------------加密后的输出文件路径


  # openssl enc -e -salt -in fatab -out fstab.des3 -des3 -a -----------加密

  # openssl enc -d -in fstab.des3 -out fstab2 -des3 -a -----------解密


(2)、openssl dgst -----------单向加密(只能加密)

  格式:openssl dgst -ciphername /PATH/TO/SOME_FILE

  常用选项:

  -ciphername ------------算法名称(des3、des、aes、rc4)


  # openssl dgst -md5 fstab


(3)、openssl rand ------------生成随机数

  格式:openssl rand [-out file] [-base64] [-hex] num

  常用选项:

  -base64 ---------纯文本格式

  -hex ------------16进制

  num ----------生成的随机数长度(单位:字节)


  # openssl rand -base64 -hex 10


(4)、openssl passwd ------------生成用户密码

  格式:openssl passwd [-1] [-salt string]

  # openssl passwd -1 [-salt ‘openssl rand -base64 5’]


(5)、openssl genrsa -----------生成私钥

  格式:openssl genrsa [-out filename] [-des] [-des3] [-idea] [-f4] [numbits]

  # (umask 077;openssl genrsa -out myp.key 4096)


(6)、openssl rsa -----------生成公钥

  格式:openssl rsa [-in filename] [-out filename] [-pubout]

  # openssl rsa -in myp.key2 -out mykey.pub


(7)、openssl req ------------生成自签证书

  格式:# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3653

  常用选项:

  -new ----------生成新证书签署请求

  -x509 ----------生成自签证书,专用于私有CA的自签

  -key ------------指定私钥路径

  -out ------------自签证书保存路径

  -days ------------证书有效期限(单位:天)


3、建立私有CA步骤

(1)、创建主机私钥,抽取公钥

(2)、服务器上生成自签证书

(3)、生成目录级文件、文本格式文件

  三个【目录级】文件:cert、crl、newcerts。(/etc/pki/CA/cert  /etc/pki/CA/crl  /etc/pki/CA/newcerts)

  两个【文本格式】文件:serial、index.txt。(/etc/pki/CA/serial  /etc/pki/CA/index.txt)

  专有配置文件:/etc/pki/tls/openssl.cnf

  【公钥】保存位置:/etc/pki/CA/cacert.pem

  【私钥】保存位置:/etc/pki/CA/private/cakey.pem


例:

  # ( umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)

  # openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3653

  # touch /etc/pki/CA/index.txt

  # echo 01 > /etc/pki/CA/serial ----------创建serial文件时,需给定一个初始序列号,一般为01。


4、https 的实现步骤(生成证书):

  #安装httpd程序

  # mkdir /etc/httpd/conf/ssl

  # cd /etc/httpd/conf/ssl

  ssl]# (umask 077;openssl genrsa -out /etc/httpd/conf/ssl/http.key 4096) ---------创建私钥

  ssl]# openssl req -new -key http.key -out httpd.csr -days 3653  --------生成自签证书

  ~]# openssl ca -in /tmp/csrs/httpd.csr -out /tmp/csrs/httpd.crt -days 365 ----------CA服务器签发证书

  ~]# openssl x509 -in /etc/pki/CA/newcerts/01.pem -noout -serila -subject  ------查看证书 


5、吊销证书步骤(在CA上执行):

  ~]# openssl x509 -in /etc/pki/CA/newcerts/01.pem -noout -serila ------获取客户端证书相应的序列号

  ~]# openssl ca -revoke /etc/pki/CA/newcerts/01.pem --------吊销证书,注意相应的序列号

  ~]# echo 01 > /etc/pki/CA/crlnumber ----------生成吊销证书的吊销编号

  ~]# openssl ca -genctl -out /etc/pki/CA/ca.crl -----------更新证书吊销列表


三、OpenSSH(ssh)

1、openssh基础:

 openssh 用于服务器端,远程登录。对于C/S架构,默认不允许管理员直接远程登录,在开启C/S服务之前,要先关闭防火墙和selinux。

 CentOS 6开启C/S服务为:# chkconfig telenet on

                        # service xinetd start

 CentOS 7开启C/S服务为:# systemctl start telnet.socket


2、ssh

 ssh是安全的shell,当前使用的ssh协议是sshv2。ssh有两种认证方式,即基于口令、基于秘钥两种人认证方式。

 openssh由两部分组成,即客户端(ssh)、服务器端(sshd)。


3、ssh客户端工具 --------------------------------- /etc/ssh/ssh_config

(1)、ssh命令 -------远程登录

  格式:ssh [options]... [user@]hostname [command]

  常用选项:

  -l user -----------指明登录的用户

  -p port ----------指明远程服务器目标端口

  -b bind_address -------------指明服务器ip地址

  -X -------------------X11转发

  -Y --------------受信任的X1转发

 客户端访问:

  # ssh -p PORT user@host

  # dbclient -p PORT user@host


(2)、ssh机制

 ssh-keygen命令 ------------【创建秘钥对】

  格式:ssh-keygen [-q] [-b bits] [-t type] [-f output_keyfile] [-P passphrase]

  常用选项:

  -q -----------静默模式

  -b bits --------------密钥的长度(RSA、DSA、ECDSA、ED25519)

  -t type --------------公钥加密算法类型(dsa、ecdsa、ed25519、rsa)

  -f output_keyfile -------------生成密钥文件的路径

  -P passphrase --------------私钥的加密密码


 ssh-copy-id命令 -----------【复制秘钥】

  格式:ssh-copy-id [-i [identity_file]] [-p port] [user@]hostname

  常用选项:

  -i ------------指定要复制的公钥文件

  -p port ----------------服务器端的端口


 scp命令 ----------------基于ssh连接完成【复制】

  格式:scp [options]... SRC HOST:/PATH/TO/DEST ------------推送

       scp [options]... HOST:/PATH/FROM/SRC DEST ----------拉取

  常用选项:

  -r ---------------递归复制

  -p ---------------保留源文件的权限

  -q ----------------静默模式

  -P port -----------------指定监听端口

     

(3)、ssh秘钥验证步骤:

  # ssh-keygen -t rsa -P 'passphrase' -f /PATH/TO/KEY_PAIR ------------生成秘钥对

  # ssh-copy-id -i /PATH/TO/PUBLIC_KEY user@HOSTNAME ----------发送公钥到目标服务器

  # ssh -l user HOSTNAME ------------远程登录(# ssh user@HOSTNAME)


4、ssh的服务器端工具 -----------------------------------/etc/ssh/sshd_config

  修改配置文件/etc/ssh/sshd_config后,必须读取配置文件,如下:

  # systemctl reload sshd.service

  # service sshd reload


四、dropbear -------------------用于嵌入式环境,实现ssh协议远程登录。

1、编译安装dropbear步骤:

(1)、解压

(2)、# ./configure

(3)、# make PROGRAMS="dropbear dbclient dropbearkey dropbearconvert"

(4)、# make PROGRAMS="dropbear dbclient dropbearkey dropbearconvert" install


2、dropbear命令

  格式:# dropbear -p IP:PORT -F -E

  常用选项:

  -p IP:PORT -----------------启动dropbear服务进程监听的套接字

  -F ----------------dropbear服务进程运行在前台

  -E ---------------进程消息从标准错误输出,不写入日志

  -w ----------------禁止root直接登录dropbear服务器


3、启动dropbear步骤:

  # dropbear -h

  # mkdir /etc/dropbear -------------秘钥文件目录

  # dropbearkey -t rsa -s 2048 -f /etc/dropbear/dropbear_rsa_host_key --------------创建秘钥

  # dropbearkey -t dss -f /etc/dropbear/dropbear_dss_host_key

  # dropbearkey -t ecdsa -s 521 -f /etc/dropbear/dropbear_ecdsa_host_key

  # dropbear -p IP:PORT -F -E ------------启动dropbear,运行于前台






     本文转自little_ding 51CTO博客,原文链接:http://blog.51cto.com/12496428/1965687,如需转载请自行联系原作者





网友评论

登录后评论
0/500
评论
技术小胖子
+ 关注