Linux和OpenSSL的关系和作用 (linuxopensll)
随着互联网技术的发展和普及，网络安全逐渐成为一个备受关注的问题。在网络安全领域中，Linux和OpenSSL是至关重要的两个方面。
Linux是一种开源操作系统，由Linus Torvalds创造并维护。它是一个强大、安全和可靠的操作系统，被广泛应用于服务器端和移动设备等领域，因其开放源代码、稳定性强、自由度高的特点，备受各大互联网企业的青睐。另外，Linux还有一个显着的优势，就是其强大的网络性能。由于Linux对网络性能的优化和支持，使得其成为一种理想的服务器操作系统。
而OpenSSL则是一种加密工具包，它提供了开发者和管理员加密和解密数据的功能。这种工具包通常被用于在网络通信中确保数据的安全性和隐私。OpenSSL支持各种加密算法，例如DES、Blowfish、AES等，并且支持各种加密模式，例如ECB、CBC等。它还提供了证书验证、数字签名、秘钥生成等功能。
Linux和OpenSSL有着密切的关系，前者提供了一个优越的操作系统平台，后者则提供了必要的加密与安全保障。在今天网络安全日益严峻的情况下，这样的组合被广泛应用于服务器、网络设备上等位置。
Linux系统为OpenSSL提供了优越的执行环境和性能支持。在Linux下，OpenSSL的性能表现非常优秀。Linux的强大网络性能与OpenSSL的加密技术相辅相成，为网络通信提供了坚实的保障。
OpenSSL的加密技术是Linux下一些网络应用必不可少的一部分。例如，web 服务器、eml 服务器、DNS解析器等等，这些服务应用都需要通过加密来确保数据的安全传输。OpenSSL的证书验证和数字签名技术可以保证通信的可信度和完整性。
另外，在Linux环境下，OpenSSL也是一个强大、灵活的安全工具。使用OpenSSL可以轻松地生成数字证书，这对于网络安全来说是非常重要的。在一些高度安全性要求的应用中，例如金融交易、医疗保健等应用中，数字证书可以确保通信安全性和用户身份证明的准确性。
此外，Linux和OpenSSL也会被用作安全监测和风险识别工具。使用 Linux 和 OpenSSL ，可以开发出一些自定义的工具来监测网络通信和识别潜在的风险。开发者可以使用 Linux 的网络监测工具（Wireshark、tcpdump和nmap等）来监测网络通信，同时使用 OpenSSL 分析数据包中的数据来识别未加密的通信情况。
综上所述，Linux和OpenSSL是网络安全领域中不可或缺的两个方面。Linux提供了稳定、高效的操作系统平台，OpenSSL则提供了加密和安全保障的功能，二者形成了完美的配合。网络安全的重要性越来越受到重视，需要有Linux和OpenSSL这样的强大工具来应对各种挑战和威胁。Linux和OpenSSL的不断发展和完善，将会使其在未来的互联网安全领域中发挥更加重要的作用。
相关问题拓展阅读：
linux下使用openssl检测PE文件数字签名的证书是否有效
之一个坑: 有效期
windows在判断证书是否有效时不检测证书的有效期, 即使该证书超过有效期好几年了, 只要没有被吊销, 微软仍然认为它是有效的. 但在 openssl 提供的 X509_verify_cert 函数会验证证书的有效期, 因此需要注释掉验证有效期的那部分代码并重新编译 openssl…
OK, 从 openssl 官网 上下载最新的版本, 好吧, 现在还是刚刚修复 Heartbleed 漏洞的 1.0.1g 版本…
下载, 解压, 看下 INSTALL 文档, 先试试可以编译不:
./config
make
运气不错, 不用安装什么依赖直缺稿接编译成功. 将代码根目录产生的 libcrypto.a 添加到项目中测试下, OK, 可以使用, 下面开始折腾了~
在 crypto/x509/x509_vfy.c 的 153 行找到 X509_verify_cert 函数(在线查看), 局部变量 ok 缓存每一步验证是否通过, 它依次调用了:
check_issued
check_chain_extensions
check_name_constraints
check_trust
check_revocation
internal_verify
check_policy
其中 internal_verify (在线查看)验证了证书的有效期, 进伏梁孝入这个函数, 在 1654 行找到这个代码:
ok = check_cert_time(ctx, xs);
if (!ok)
goto end;
看看 check_cert_time 函数, 确认是检查 notBefore 和 notAfter, 因此将上面三行代码注释掉, 验证证书时就不会检测有效期了.
然后就是重新编译 openssl, 将 libcrypto.a 集成到项目里了~
第二个坑: unhandled critical extension
搜索了下, 在 openssl 官网上找到这个:
-ignore_critical
Normally if an unhandled critical extension is present which is not supported by OpenSSL the certificate is rejected (as required by RFC5280). If this option is set critical extensions are ignored.
原来是当openssl遇到证书中有它不支持的 未处理的关键扩展(unhandled critical extension ?) 时, 它会拒绝加载该证书.
再搜索下 -ignore_critical, 在 verify.c 中找到如下代码片段:
else if (strcmp(*argv,”-ignore_critical”) == 0)
vflags |= X509_V_FLAG_IGNORE_CRITICAL;
然后再使用 X509_STORE_set_flags 函数设置标志位:
X509_STORE *ctx;
…
X509_STORE_set_flags(ctx, vflags);
即可.
第三个坑: certificate signature failure
这个坑填不上了, openssl 说:
7 X509_V_ERR_CERT_SIGNATURE_FAILURE: certificate signature failure
the signature of the certificate is invalid.
在windows下导出证书文件, 直接用 openssl 验证, 在加载证书就会出错, PEM_read_bio_X509 返回为空….
第四个坑: A certificate was explicitly revoked by its issuer.
A certificate was explicitly revoked by its issuer. 是 Sysinternals 提供的工具sigcheck.exe 的检测结果, 把文件拎出来一看, 证书真渣衡的被撤销了…
OK, 只好根据证书上的 CRL Distribution Point(CRL 分发点) 提供的 URL 下载 撤销证书列表 文件, 然后在调用 X509_verify_cert 验证证书链之前, 设置填充被撤销的证书列表:
X509_CRL *d2i_X509_CRL_fp(FILE *fp, X509_CRL **crl); // 读取被撤销的证书列表
STACK_OF(X509_CRL) *sk_X509_CRL_new_null();
#define sk_X509_CRL_push(st, val) SKM_sk_push(X509_CRL, (st), (val)); // sk_X509_CRL_push(STACK_OF(X509_CRL) *crls, X509_CRL *crl);
void X509_STORE_CTX_set0_crls(X509_STORE_CTX *c, STACK_OF(X509_CRL) *sk); // 设置被撤销的证书列表
同时, 也要设置检查被撤销证书列表的标志位 X509_V_FLAG_CRL_CHECK, 然后再调用X509_verify_cert 验证证书链即可.
填了第四个坑后又引起了第五个坑(如何获取撤销证书列表)和第六个坑(设置检测撤销证书列表的标识位后, 如果该证书没有撤销证书列表则直接报错)…
第五个坑: 获取撤销证书列表文件
证书上的 CRL Distribution Point(CRL 分发点) 属于扩展属性, 在 PKCS #7: Cryptographic Message Syntax V1.5 上没有相关介绍.
在 StackOverflow 上找到这个问答 Openssl – How to check if a certificate is revoked or not, 其中第二个回答说 CRL 是在 RFC 5280 中定义的, 除了证书中附带被撤销的证书列表以外还有使用 OCSP 协议的, 即使证书撤销列表也分为使用 URL分发点和 LDAP DNs(???)提供的, 目前先考虑使用 URL 作为 CRL分发点 的情况吧.
然而 openssl 没有提供直接获取 CRL 分发点 URL 的API, 那个回答说 Apache 的 mod_ssl 模块有本地 CRL 和 OCSP 检测的实现代码, 但没有说明哪里有检测使用 URL 作为 CRL分发点 的实现方法.
然后又在 frank4dd.com上找到这个代码 certextensions.c, 他给出了一个如何使用 openssl 从 X.509v3 版本的证书文件中提取扩展内容的示例程序, 太感谢 Frank4DD 这位仁兄了~~~
到这里后, 可以直接使用他的示例程序, 根据关键字 Full Name 和 URI 定位 CRL 分发点 的 URL, 也可以看看 openssl 是如何提取这个 URL 的, 然后自己实现一个接口.
如果自作孽使用第二种方法的话, 就编译个 debug 版的 openssl 库, 然后调试跟进X509V3_EXT_print 函数, 一步一步的向下走, 直到走到 GENERAL_NAME_print 函数, 这里就是终点了…然后就知道了 CRL 分发点 的 URL 的编号为 6, 也就是 GEN_URI, 直接取结果吧.
第六个坑: CRL有效期
在windows环境下每次查看PE文件的数字签名时, windows 都会从 CRL分发点 下载吊销证书列表做验证, 一般来说, 每个 CRL的有效期是非常短的， 大概只有 5~20 天的有效期吧, 然而我们不可能像 windows 一样每次查看数字签名时就从 CRL分发点 下载最新的吊销列表．
另外, windows 遇到过期的 CRL 时不会产生证书链无效的结果, 但 openssl 在遇到过期的 CRL 时就会导致证书链验证失败, 因此在加载和验证 CRL 时, 要忽略 CRL 的有效期.
分析 openssl 源代码, X509_verify_cert 调用 check_revocation , 之后调用 check_cert , 然后再调用 check_crl , 在这个函数里有检测 CRL 有效期的代码:
if (!(ctx->current_crl_score & CRL_SCORE_TIME))
{
ok = check_crl_time(ctx, crl, 1);
if (!ok)
goto err;
}
将其注释掉即可忽略检测 CRL 有效期.
第七个坑: CRL 列表为空导致 openssl 认为没有加载 CRL
9 初始化顺序
10 证书名: key_id
关于linuxopensll的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。
