## **openssl**
* **介紹**: OpenSSL 是一個安全套接字層密碼庫,囊括主要的密碼算法、常用的密鑰和證書封裝管理功能及SSL協議,并提供豐富的應用程序供測試或其它目的使用
* **特性**:開源
* **用途**:數據傳輸 https 以及支付流程數據加密解密驗簽
## **證書與密鑰**
1.鮑勃有兩把鑰匙,一把是公鑰,另一把是私鑰。
2.鮑勃把公鑰送給他的朋友們—-帕蒂、道格、蘇珊—-每人一把。
3.蘇珊給鮑勃寫信,寫完后用鮑勃的公鑰加密,達到保密的效果。
4.鮑勃收信后,用私鑰解密,看到信件內容。
5.鮑勃給蘇珊回信,寫完后用Hash函數,生成信件的摘要(digest)。
6.然后,鮑勃使用私鑰,對這個摘要加密,生成”數字簽名”(signature)。
7.鮑勃將這個簽名,附在信件下面,一起發給蘇珊。
8.蘇珊收信后,取下數字簽名,用鮑勃的公鑰解密,得到信件的摘要。由此證明,這封信確實是鮑勃發出的。
9.蘇珊再對信件本身使用Hash函數,將得到的結果,與上一步得到的摘要進行對比。如果兩者一致,就證明這封信未被修改過。
10.復雜的情況出現了。道格想欺騙蘇珊,他偷偷使用了蘇珊的電腦,用自己的公鑰換走了鮑勃的公鑰。因此,他就可以冒充鮑勃,寫信給蘇珊。
11.蘇珊發現,自己無法確定公鑰是否真的屬于鮑勃。她想到了一個辦法,要求鮑勃去找”證書中心”(certificate authority,簡稱CA),為公鑰做認證。證書中心用自己的私鑰,對鮑勃的公鑰和一些相關信息一起加密,生成”數字證書”(Digital Certificate)。
12.鮑勃拿到數字證書以后,就可以放心了。以后再給蘇珊寫信,只要在簽名的同時,再附上數字證書就行了。
13.蘇珊收信后,用CA的公鑰解開數字證書,就可以拿到鮑勃真實的公鑰了,然后就能證明”數字簽名”是否真的是鮑勃簽的。
14.下面,我們看一個應用”數字證書”的實例:https協議。這個協議主要用于網頁加密。
15.首先,客戶端向服務器發出加密請求。
16.服務器用自己的私鑰加密網頁以后,連同本身的數字證書,一起發送給客戶端。
17.客戶端(瀏覽器)的”證書管理器”,有”受信任的根證書頒發機構”列表。客戶端會根據這張列表,查看解開數字證書的公鑰是否在列表之內。
18.如果數字證書記載的網址,與你正在瀏覽的網址不一致,就說明這張證書可能被冒用,瀏覽器會發出警告。
19.如果這張數字證書不是由受信任的機構頒發的,瀏覽器會發出另一種警告。
20.如果數字證書是可靠的,客戶端就可以使用證書中的服務器公鑰,對信息進行加密,然后與服務器交換加密信息。
## **加密(密碼學)**
* 對稱加密
1. 對稱加密指的就是加密和解密使用同一個秘鑰
2. 類型:AES、DES、Blowfish、CAST、IDEA、RC2、RC5
* 非對稱加密
1. 加密和解密使用不同的秘鑰,一把作為公開的公鑰,另一把作為私鑰
2. 類型:DH算法、RSA算法、DSA算法和橢圓曲線算法(EC)
* 5種信息摘要算法
MD2、MD5、MDC2、SHA(SHA1)和RIPEMD。SHA算法事實上包括了SHA和SHA1兩種信息摘要算法。
## **PHP與openssl**
本擴展使用 ??OpenSSL 庫來對稱/非對稱加解密,以及 PBKDF2、 PKCS7、 PKCS12、 X509 和其他加密操作。除此之外還提供了 TLS 流的實現。
## **openssl生成公鑰私鑰**
```
$configargs = array(
"private_key_bits" => 4096, //指定應該使用多少位來生成私鑰
"private_key_type" => OPENSSL_KEYTYPE_RSA,
);
// Create the keypair
$res=openssl_pkey_new($configargs);
openssl_pkey_export($res, $privatekey);
```
* 參數 private_key_bits 指定應該使用多少位來生成私鑰
* 參數 private_key_type: 默認值是 OPENSSL_KEYTYPE_RSA
1. OPENSSL_KEYTYPE_DSA
2. OPENSSL_KEYTYPE_DH
3. OPENSSL_KEYTYPE_RSA or OPENSSL_KEYTYPE_EC.
其他函數介紹:
1. 將密鑰導出到文件中
`array openssl_pkey_get_details ( resource $key )
`
2. 將密鑰導出到文件中
`bool openssl_pkey_export_to_file ( mixed $key , string $outfilename [, string $passphrase [, array $configargs ]] )
`
## **openssl生成公鑰**
公鑰是在私鑰的基礎上生成的
```
//生成公鑰
$Pubkey = openssl_pkey_get_details($res)['key'];
file_put_contents('pub.key',$Pubkey);
```
## **openssl對數據加解密**
**實現過程:公鑰加密=>私鑰解密**
* resource openssl_pkey_get_public ( mixed $certificate) 從證書中解析公鑰,以供使用。
* bool openssl_public_encrypt ( string $data , string &$crypted , mixed $key [, int $padding = OPENSSL_PKCS1_PADDING ] )
使用公鑰加密數據
* resource openssl_pkey_get_private ( mixed $certificate) 從證書中解析私鑰,以供使用。
* bool openssl_private_decrypt ( string $data , string &$decrypted , mixed $key [, int $padding = OPENSSL_PKCS1_PADDING ] )
**實例**
```
//加密
function encdata($data){
$pubKey = openssl_pkey_get_public(file_get_contents('pub.key'));
//用公鑰加密
openssl_public_encrypt($data,$encdata,$pubKey);
//base64轉化
$encdata = base64_encode($encdata);
return $encdata;
}
//解密
function decdata($data){
$prikey = openssl_pkey_get_private(file_get_contents('prikey.key'));
$data = base64_decode($data);
openssl_private_decrypt($data,$decdata,$prikey);
return $decdata;
openssl_private_decrypt();
}
$encdata = encdata('vanvan');
$data = decdata($encdata);
var_dump($data);
```
## **簽名以及驗簽**
私鑰簽名 公鑰驗簽
* 生成簽名
bool openssl_sign ( string $data , string &$signature , mixed $priv_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
* 驗證簽名
int openssl_verify ( string $data , string $signature , mixed $pub_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
* 舉例
```
//簽名
function sign($data){
$prikey = openssl_pkey_get_private(file_get_contents('prikey.key'));
openssl_sign($data,$sign,$prikey);
return base64_encode($sign);
}
//驗簽
function checksign($data,$sign){
$pubKey = openssl_pkey_get_public(file_get_contents('pub.key'));
$sign = base64_decode($sign);
$res = openssl_verify($data,$sign,$pubKey);
return $res;
}
$data ='hahahahaha';
$sign = sign($data);
echo checksign($data,$sign); //1成功 0失敗
```
## **openssl生成證書**
**【證書 就是在私鑰的基礎上添加信息】**
mixed openssl_csr_new ( array $dn , resource &$privkey [, array $configargs [, array $extraattribs ]] )
生成一個 CSR
resource openssl_csr_sign ( mixed $csr , mixed $cacert , mixed $priv_key , int $days [, array $configargs [, int $serial = 0 ]] )
給定的 CSR 生成一個x509證書資源
bool openssl_x509_export_to_file ( mixed $x509 , string $outfilename [, bool $notext = TRUE ] )
導出證書
bool openssl_pkcs12_export_to_file ( mixed $x509 , string $filename , mixed $priv_key , string $pass [, array $args ] )
輸出一個 PKCS#12 兼容的證書存儲文件
**例子**
```
$dn = array(
"countryName" => "GB",
"stateOrProvinceName" => "Somerset",
"localityName" => "Glastonbury",
"organizationName" => "The Brain Room Limited",
"organizationalUnitName" => "PHP Documentation Team",
"commonName" => "Wez Furlong",
"emailAddress" => "wez@example.com"
);
//創建一個私鑰的資源
$res = openssl_pkey_new();
$csr = openssl_csr_new($dn,$res);
$cacert = openssl_csr_sign($csr,null,$res,30); //生成資源
openssl_x509_export_to_file($cacert,'pub.pem'); //生成證書的第一種格式
openssl_pkcs12_export_to_file($cacert,'cacet.cert',$res,'1112233'); //生成證書的第二種格式
openssl_pkcs12_export_to_file($cacert,'cacet.pfx',$res,'1112233'); //生成證書的第三種格式
```