## **openssl**
* **介紹**： OpenSSL 是一個安全套接字層密碼庫，囊括主要的密碼算法、常用的密鑰和證書封裝管理功能及SSL協議，并提供豐富的應用程序供測試或其它目的使用
* **特性**：開源
* **用途**：數據傳輸 https 以及支付流程數據加密解密驗簽
## **證書與密鑰**
1.鮑勃有兩把鑰匙，一把是公鑰，另一把是私鑰。
2.鮑勃把公鑰送給他的朋友們—-帕蒂、道格、蘇珊—-每人一把。
3.蘇珊給鮑勃寫信，寫完后用鮑勃的公鑰加密，達到保密的效果。
4.鮑勃收信后，用私鑰解密，看到信件內容。
5.鮑勃給蘇珊回信，寫完后用Hash函數，生成信件的摘要（digest）。
6.然后，鮑勃使用私鑰，對這個摘要加密，生成”數字簽名”（signature）。
7.鮑勃將這個簽名，附在信件下面，一起發給蘇珊。
8.蘇珊收信后，取下數字簽名，用鮑勃的公鑰解密，得到信件的摘要。由此證明，這封信確實是鮑勃發出的。
9.蘇珊再對信件本身使用Hash函數，將得到的結果，與上一步得到的摘要進行對比。如果兩者一致，就證明這封信未被修改過。
10.復雜的情況出現了。道格想欺騙蘇珊，他偷偷使用了蘇珊的電腦，用自己的公鑰換走了鮑勃的公鑰。因此，他就可以冒充鮑勃，寫信給蘇珊。
11.蘇珊發現，自己無法確定公鑰是否真的屬于鮑勃。她想到了一個辦法，要求鮑勃去找”證書中心”（certificate authority，簡稱CA），為公鑰做認證。證書中心用自己的私鑰，對鮑勃的公鑰和一些相關信息一起加密，生成”數字證書”（Digital Certificate）。
12.鮑勃拿到數字證書以后，就可以放心了。以后再給蘇珊寫信，只要在簽名的同時，再附上數字證書就行了。
13.蘇珊收信后，用CA的公鑰解開數字證書，就可以拿到鮑勃真實的公鑰了，然后就能證明”數字簽名”是否真的是鮑勃簽的。
14.下面，我們看一個應用”數字證書”的實例：https協議。這個協議主要用于網頁加密。
15.首先，客戶端向服務器發出加密請求。
16.服務器用自己的私鑰加密網頁以后，連同本身的數字證書，一起發送給客戶端。
17.客戶端（瀏覽器）的”證書管理器”，有”受信任的根證書頒發機構”列表。客戶端會根據這張列表，查看解開數字證書的公鑰是否在列表之內。
18.如果數字證書記載的網址，與你正在瀏覽的網址不一致，就說明這張證書可能被冒用，瀏覽器會發出警告。
19.如果這張數字證書不是由受信任的機構頒發的，瀏覽器會發出另一種警告。
20.如果數字證書是可靠的，客戶端就可以使用證書中的服務器公鑰，對信息進行加密，然后與服務器交換加密信息。
## **加密(密碼學)**
* 對稱加密
1. 對稱加密指的就是加密和解密使用同一個秘鑰
2. 類型：AES、DES、Blowfish、CAST、IDEA、RC2、RC5
* 非對稱加密
1. 加密和解密使用不同的秘鑰，一把作為公開的公鑰，另一把作為私鑰
2. 類型：DH算法、RSA算法、DSA算法和橢圓曲線算法（EC）
* 5種信息摘要算法
MD2、MD5、MDC2、SHA（SHA1）和RIPEMD。SHA算法事實上包括了SHA和SHA1兩種信息摘要算法。
## **PHP與openssl**
本擴展使用 ??OpenSSL 庫來對稱/非對稱加解密，以及 PBKDF2、 PKCS7、 PKCS12、 X509 和其他加密操作。除此之外還提供了 TLS 流的實現。
## **openssl生成公鑰私鑰**
```
$configargs = array(
"private_key_bits" => 4096, //指定應該使用多少位來生成私鑰
"private_key_type" => OPENSSL_KEYTYPE_RSA,
);
// Create the keypair
$res=openssl_pkey_new($configargs);
openssl_pkey_export($res, $privatekey);
```
* 參數 private_key_bits 指定應該使用多少位來生成私鑰
* 參數 private_key_type: 默認值是 OPENSSL_KEYTYPE_RSA
1. OPENSSL_KEYTYPE_DSA
2. OPENSSL_KEYTYPE_DH
3. OPENSSL_KEYTYPE_RSA or OPENSSL_KEYTYPE_EC.
其他函數介紹：
1. 將密鑰導出到文件中
`array openssl_pkey_get_details ( resource $key )
`
2. 將密鑰導出到文件中
`bool openssl_pkey_export_to_file ( mixed $key , string $outfilename [, string $passphrase [, array $configargs ]] )
`
## **openssl生成公鑰**
公鑰是在私鑰的基礎上生成的
```
//生成公鑰
$Pubkey = openssl_pkey_get_details($res)['key'];
file_put_contents('pub.key',$Pubkey);
```
## **openssl對數據加解密**
**實現過程:公鑰加密=>私鑰解密**
* resource openssl_pkey_get_public ( mixed $certificate) 從證書中解析公鑰，以供使用。
* bool openssl_public_encrypt ( string $data , string &$crypted , mixed $key [, int $padding = OPENSSL_PKCS1_PADDING ] )
使用公鑰加密數據
* resource openssl_pkey_get_private ( mixed $certificate) 從證書中解析私鑰，以供使用。
* bool openssl_private_decrypt ( string $data , string &$decrypted , mixed $key [, int $padding = OPENSSL_PKCS1_PADDING ] )
**實例**
```
//加密
function encdata($data){
$pubKey = openssl_pkey_get_public(file_get_contents('pub.key'));
//用公鑰加密
openssl_public_encrypt($data,$encdata,$pubKey);
//base64轉化
$encdata = base64_encode($encdata);
return $encdata;
}
//解密
function decdata($data){
$prikey = openssl_pkey_get_private(file_get_contents('prikey.key'));
$data = base64_decode($data);
openssl_private_decrypt($data,$decdata,$prikey);
return $decdata;
openssl_private_decrypt();
}
$encdata = encdata('vanvan');
$data = decdata($encdata);
var_dump($data);
```
## **簽名以及驗簽**
私鑰簽名 公鑰驗簽
* 生成簽名
bool openssl_sign ( string $data , string &$signature , mixed $priv_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
* 驗證簽名
int openssl_verify ( string $data , string $signature , mixed $pub_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
* 舉例
```
//簽名
function sign($data){
$prikey = openssl_pkey_get_private(file_get_contents('prikey.key'));
openssl_sign($data,$sign,$prikey);
return base64_encode($sign);
}
//驗簽
function checksign($data,$sign){
$pubKey = openssl_pkey_get_public(file_get_contents('pub.key'));
$sign = base64_decode($sign);
$res = openssl_verify($data,$sign,$pubKey);
return $res;
}
$data ='hahahahaha';
$sign = sign($data);
echo checksign($data,$sign); //1成功 0失敗
```
## **openssl生成證書**
**【證書 就是在私鑰的基礎上添加信息】**
mixed openssl_csr_new ( array $dn , resource &$privkey [, array $configargs [, array $extraattribs ]] )
生成一個 CSR
resource openssl_csr_sign ( mixed $csr , mixed $cacert , mixed $priv_key , int $days [, array $configargs [, int $serial = 0 ]] )
給定的 CSR 生成一個x509證書資源
bool openssl_x509_export_to_file ( mixed $x509 , string $outfilename [, bool $notext = TRUE ] )
導出證書
bool openssl_pkcs12_export_to_file ( mixed $x509 , string $filename , mixed $priv_key , string $pass [, array $args ] )
輸出一個 PKCS#12 兼容的證書存儲文件
**例子**
```
$dn = array(
"countryName" => "GB",
"stateOrProvinceName" => "Somerset",
"localityName" => "Glastonbury",
"organizationName" => "The Brain Room Limited",
"organizationalUnitName" => "PHP Documentation Team",
"commonName" => "Wez Furlong",
"emailAddress" => "wez@example.com"
);
//創建一個私鑰的資源
$res = openssl_pkey_new();
$csr = openssl_csr_new($dn,$res);
$cacert = openssl_csr_sign($csr,null,$res,30); //生成資源
openssl_x509_export_to_file($cacert,'pub.pem'); //生成證書的第一種格式
openssl_pkcs12_export_to_file($cacert,'cacet.cert',$res,'1112233'); //生成證書的第二種格式
openssl_pkcs12_export_to_file($cacert,'cacet.pfx',$res,'1112233'); //生成證書的第三種格式
```
