☰

openssl 总是加密私钥吗？

tag-icon • tag-icon linux openssl private-key
openssl 总是加密私钥吗？

使用 openssl 0.9.8 创建新的自签名证书+密钥时，有一个-nodes参数可用于告诉 openssl 不要加密其创建的私钥。例如：

openssl req -x509 -nodes -days 365 \
    -subj '/C=US/ST=Florida/L=Jupiter/CN=test.com' \
    -newkey rsa:1024 -keyout mykey.pem -out mycert.pem

但是对于新的 openssl v1.0.1，似乎-nodes忽略了该参数。据我所知，私钥始终是加密的。我使用 openssl 的方式错误吗？我应该使用其他参数吗？

该-nodes参数的意思是：

if this option is specified then if a private
key is created it will not be encrypted

来源：http://www.openssl.org/docs/apps/req.html#item__nodes

更多详细信息请咨询：

使用 openssl 0.9.8，密钥 + 证书可以直接导入到我们拥有的其他需要未加密密钥和证书的第三方设备中。这没有任何问题。

但是当使用 openssl 1.0.1 时，这些第三方设备会抱怨密钥无效。确切的错误消息是：

ERROR: Private key for 'My Cert' does not appear to be a valid
RSA private key in PEM format.

这是一个闭源系统，它不提供额外的细节。我今天通过尝试发现，如果我通过以下命令运行 v1.0.1 私钥：

openssl rsa -in mykey.pem -out decryptedkey.pem

...那么此时第三方系统就可以毫无问题地导入证书和解密密钥。当我在 v1.0.1 密钥上运行此命令时：

 openssl rsa -text -in mykey.pem

...私钥的文本与 v1.0.1 mykey.pem 文件中的文本不同。这就是我认为密钥以某种方式加密的原因。

答案1

看起来默认格式在更高版本中已经发生了变化。早期版本似乎生成 PKCS#1 RSAPrivateKey 格式，如下所示

-----BEGIN RSA PRIVATE KEY-----

更高版本生成 PKCS#8 PrivateKeyInfo 格式，如下所示

-----BEGIN PRIVATE KEY-----

当你openssl rsa -in mykey.pem -out decryptedkey.pem从 转换#8为#1

相关内容