OpenSSL常用命令手册

OpenSSL是一个功能极其强大的命令行工具，可以用来完成公钥体系（Public Key Infrastructure）及HTTPS相关的很多任务。这个速查手册整理了常用的OpenSSL命令的使用方法，例如生成私钥、生成证书签名请求以及证书格式转换等。

序：关于证书签名请求（CSR）

如果你要从证书颁发机构（CA）获取一个SSL证书，那首先需要先生成一个证书签名请求（CSR）。CSR的主要内容是密钥对中的公钥，以及一些额外的信息 —— 这些内容都将在签名时插入到证书里。

当使用openssl生成证书签名请求时，需要输入证书的唯一标识信息（Distinguished Name），其中重要的一项是常见名（Common Name），它应当是你要部署证书的主机的域名全称（FQDN）。

DN中的其他条目用来提供关于你的机构的额外信息。如果你在从证书颁发机构购买SSL证书，那么通常也需要这些额外的字段，例如组织机构（Organization），以便能够真实地展示你的机构详情。

下面是CSR的模样：

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:New York
Locality Name (eg, city) []:Brooklyn
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Brooklyn Company
Organizational Unit Name (eg, section) []:Technology Division
Common Name (e.g. server FQDN or YOUR name) []:examplebrooklyn.com
Email Address []:

也可以非交互方式提供生成CSR时要求的信息，任何需要CSR信息的OpenSSL命令都可以添加 -subj选项。例如：

-subj "/C=US/ST=New York/L=Brooklyn/O=Example Brooklyn Company/CN=examplebrooklyn.com"

一、生成证书签名请求

这一部分涵盖与生成CSR（以及私钥）相关的OpenSSL命令。CSR可以用来从证书颁发机构 请求SSL证书。

记住，你可以交互式的添加CSR信息，也可以使用-subj选项以非交互的方式添加同样的信息。

1.1 生成私钥和CSR

如果你需要使用HTTPS来加固你的web服务器，那么你会向证书颁发机构申请一个证书。这里 生成的CSR可以发送给CA来发行其签名的SSL证书。

下面的命令创建一个2048位的私钥（domain.key）以及一个CSR（domain.csr）：

openssl req \
       -newkey rsa:2048 -nodes -keyout domain.key \
       -out domain.csr

这里需要交互地输入CSR信息，以便完成整个过程。

-newkey rsa:2048选项声明了使用RAS算法生成2048位的私钥。-nodes选项表明我们不使用密码加密私钥。上面隐含了-new选项，表示要生成一个CSR。

1.2 使用已有私钥生成CSR

如果你已经有了一个私钥，那么可以直接用它来向CA申请证书。

下面的命令使用一个已有的私钥（domain.key）创建一个新的CSR（domain.csr）：

openssl req \
       -key domain.key \
       -new -out domain.csr

-key选项用来指定已有的私钥文件，-new选项表明我们要生成一个CSR。

1.3 使用已有的证书和私钥生成CSR

如果你需要续订已有的证书，但你和CA都没有原始的CSR，那可以再次生成CSR。

例如，下面的命令使用已有的证书（domain.crt）和私钥（domain.key）创建一个新的CSR：

openssl x509 \
       -in domain.crt \
       -signkey domain.key \
       -x509toreq -out domain.csr

-x509toreq选项表明我们要使用X509证书来制作CSR。

二、生成SSL证书

如果你只是想用SSL证书加固你的web服务器，但是并不需要CA签名的证书，那么一个简单的方法是自己签发证书。

一种常见的你可以签发的类型是自签名证书 —— 使用自己的私钥签发的证书。自签名证书可以向CA签发的证书一样用于加密数据，但是你的用户将收到提示说明该证书不被其计算机或浏览器信息。因此，自签名证书只能在不需要向用户证明你的身份时使用，例如非生产环境或者非公开服务。

这一部分的内容涵盖自签名证书生成相关的OpenSSL命令。

2.1 生成自签名证书

如果你需要使用HTTPS加固服务器，但不需要CA签发的证书，就可以使用自签名证书。

下面的命令创建一个2048位的私钥（domain.key）以及一个自签名证书（domain.crt）：

openssl req \
       -newkey rsa:2048 -nodes -keyout domain.key \
       -x509 -days 365 -out domain.crt

-x509选项指出我们要创建自签名证书，-days 365选项声明该证书的有效期为365天。在上面的命令执行过程中将创建一个临时CSR来收集与证书相关的CSR信息。

2.2 使用已有私钥生成自签名证书

也可以使用已有私钥来生成自签名证书。例如，下面的命令使用已有的私钥（domain.key）生成一个自签名证书（domain.crt）：

openssl req \
       -key domain.key \
       -new \
       -x509 -days 365 -out domain.crt

-new选项用来启动CSR信息采集提示。

2.3 使用已有的私钥和CSR生成自签名证书

第三种办法是使用已有的私钥和CSR来生成自签名证书。例如，下面的命令使用私（domain.key）和CSR（domain.csr）创建一个自签名证书（domain:crt）：

openssl x509 \
       -signkey domain.key \
       -in domain.csr \
       -req -days 365 -out domain.crt

三、查看证书

证书和CSR文件都采用PEM编码格式，并不适合人类阅读。这一部分主要介绍OpenSSL中查看PEM编码文件的命令。

3.1 查看CSR条目

下面的命令可以查看CSR文件的明文文本并进行验证：

openssl req -text -noout -verify -in domain.csr

3.2 查看证书条目

下面的命令可以查看证书文件的明文文本：

openssl x509 -text -noout -in domain.crt

3.3 验证证书是否由CA签发

下面的命令用来验证证书doman.crt是否由证书颁发机构（ca.crt）签发：

openssl verify -verbose -CAFile ca.crt domain.crt

四、私钥生成与验证

这部分介绍与私钥生成和验证相关的OpenSSL命令。

4.1 创建私钥

下面的命令创建一个密码保护的2048位私钥domain.key：

openssl genrsa -des3 -out domain.key 2048

上面命令会提示输入密码。

4.2 验证私钥

下面的命令可以验证私钥domain.key是否有效：

openssl rsa -check -in domain.key

如果私钥是加密的，命令会提示输入密码，验证密码成功则会显示不加密的私钥。

4.3 验证私钥与证书和CSR匹配

使用下面的命令验证私钥domain.key是否与证书domain.crt以及CSR匹配：

openssl rsa -noout -modulus -in domain.key | openssl md5
openssl x509 -noout -modulus -in domain.crt | openssl md5
openssl req -noout -modulus -in domain.csr | openssl md5

如果上面三个命令的输出一致，那么有极高的概率可以认为私钥、证书和CSR是相关的。

4.4 加密私钥

下面的命令将私钥unencrypted.key加密，输出加密后的私钥encrypted.key：

openssl rsa -des3 \
       -in unencrypted.key \
       -out encrypted.key

上面命令执行时会提示设置密码。

4.5 解密私钥

下面的命令将加密私钥encrypted.key解密，并输出明文结果：

openssl rsa \
       -in encrypted.key \
       -out decrypted.key

上面命令执行时会提示输入解密密码。

五、证书格式转换

我们之前接触的证书都是X.509格式，采用ASCII的PEM编码。还有其他一些证书编码格式与容器类型。OpenSSL可以用来在众多不同类型之间转换证书。这一部分主要介绍与证书格式转换相关的OpenSSL命令。

5.1 PEM转DER

可以将PEM编码的证书domain.crt转换为二进制DER编码的证书domain.der：

openssl x509 \
       -in domain.crt \
       -outform der -out domain.der

DER格式通常用于Java。

5.2 DER转PEM

同样，可以将DER编码的证书（domain.der）转换为PEM编码（domain.crt）：

openssl x509 \
       -inform der -in domain.der \
       -out domain.crt

5.3 PEM转PKCS7

可以将PEM证书（domain.crt和ca-chain.crt）添加到一个PKCS7（domain.p7b）文件中：

openssl crl2pkcs7 -nocrl \
       -certfile domain.crt \
       -certfile ca-chain.crt \
       -out domain.p7b

使用-certfile选项指定要添加到PKCS7中的证书。

PKCS7文件也被称为P7B，通常用于Java的Keystore和微软的IIS中保存证书的ASCII文件。

5.4 PKCS7转换为PEM

使用下面的命令将PKCS7文件（domain.p7b）转换为PEM文件：

openssl pkcs7 \
       -in domain.p7b \
       -print_certs -out domain.crt

如果PKCS7文件中包含多个证书，例如一个普通证书和一个中间CA证书，那么输出的PEM文件中将包含所有的证书。

5.5 PEM转换为PKCS12

可以将私钥文件（domain.key）和证书文件（domain.crt）组合起来生成PKCS12 文件（domain.pfx）：

openssl pkcs12 \
       -inkey domain.key \
       -in domain.crt \
       -export -out domain.pfx

上面的命令将提示你输入导出密码，可以留空不填。

PKCS12文件也被称为PFX文件，通常用于导入/导出微软IIS中的证书链。

5.6 PKCS12转换为PEM

也可以将PKCS12文件（domain.pfx）转换为PEM格式（domain.combined.crt）：

openssl pkcs12 \
       -in domain.pfx \
       -nodes -out domain.combined.crt

注意如果PKCS12文件中包含多个条目，例如证书及其私钥，那么生成的PEM文件中将包含所有条目。