Як створити ключ openSSL за допомогою парольної фрази з командного рядка?

По-перше - що станеться, якщо я не даю фразу? Чи використовується якась псевдо випадкова фраза? Я просто шукаю щось "досить добре", щоб утримати випадкових хакерів.

По-друге - як мені створити пару ключів з командного рядка, подаючи парольну фразу в командному рядку?

Нарешті я змусив його працювати за допомогою цих команд, використовуючи exec (), який, як правило, вважається небезпечним у використанні, краще подати PassPhrase у файл. Я можу прийняти цей ризик, оскільки я впевнений, що PHP буде коли-небудь виконуватися на моєму ПК (який запускає windows і не має команди PS).

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 2048
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

Багато хто дякує @caf, без якого це було б неможливо.

Лише одне шкодую - що, скільки б я не Google, ніхто, здається, не може openssl_pkey_new()працювати з Xampp в Windows (це правильний спосіб генерувати ключові пари)

Якщо ви не використовуєте парольну фразу, то приватний ключ не зашифрований жодним симетричним шифром - він виводиться повністю незахищеним.

Ви можете створити ключ, подавши пароль у командному рядку, використовуючи виклик типу (у цьому випадку пароль є foobar):

openssl genrsa -aes128 -passout pass:foobar 3072

Однак зауважте, що ця парольна фраза може бути схоплена будь-яким іншим процесом, що працює на машині в той час, оскільки аргументи командного рядка, як правило, видно для всіх процесів.

Кращою альтернативою є написання парольної фрази у тимчасовий файл, захищений дозволами файлів, і вказати, що:

openssl genrsa -aes128 -passout file:passphrase.txt 3072

Або введіть пароль на стандартному вході:

openssl genrsa -aes128 -passout stdin 3072

Ви також можете використовувати названу трубку з file:опцією або дескриптор файлу.

Щоб потім отримати відповідний відкритий ключ, потрібно використовувати openssl rsa, подаючи ту саму парольну фразу з -passinпараметром, який використовувався для шифрування приватного ключа:

openssl rsa -passin file:passphrase.txt -pubout

(Це очікує зашифрованого приватного ключа на стандартному вході. Ви можете замість цього прочитати його з файлу за допомогою -in <file>).

Приклад створення 3072-бітної пари приватних і відкритих ключів у файлах, при цьому пара приватних ключів зашифрована паролем foobar:

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 3072
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

genrsaбуло заміненоgenpkey & при запуску вручну в терміналі, він запропонує ввести пароль:

openssl genpkey -aes-256-cbc -algorithm RSA -out /etc/ssl/private/key.pem -pkeyopt rsa_keygen_bits:4096

Однак при запуску зі скрипту команда не запитуватиме пароль, щоб уникнути перегляду паролем у процесі використання функції у shell скрипті:

get_passwd() {
    local passwd=
    echo -ne "Enter passwd for private key: ? "; read -s passwd
    openssl genpkey -aes-256-cbc -pass pass:$passwd -algorithm RSA -out $PRIV_KEY -pkeyopt rsa_keygen_bits:$PRIV_KEYSIZE
}