标签: openssl

我正在为一家公司设置邮件服务器，我已经完成了一切，生成了csr，一切正常，我只需要添加godaddy的ssl，godaddy给出的说明不清楚，我需要一些帮助，我们有centos 专用服务器和 apache，有关如何设置的任何帮助？

顺便说一句，主站点托管在另一台服务器上，邮件服务器仅用于提供邮件，我们使用 mx 记录将邮件服务器指向主域，我们必须在两台服务器上安装 ssl 还是只安装一个？

我有一个用 opendkim 生成的 PEM RSA 私钥：

# dkim-genkey -t -s code001 -d domain.com

为了将它与交换一起使用，我需要使用以下命令将其转换为 pfx：

# openssl pkcs12 -export -in code001.private -nodes -out code001.pfx -nokeys
Enter Export Password:
Verifying - Enter Export Password:
4192275:error:0D0C6070:asn1 encoding routines:ASN1_item_pack:encode error:asn_pack.c:170:

但我收到此错误，我不知道这是否是正确的方法。

我在 Debian 机器上安装了 OpenVPN 服务器。

有没有办法找到哪些密钥是在没有使用密码加密的情况下创建的，以便替换它们？

我在端口 443 上启动我的播放框架服务器时遇到问题，我正在使用 Scala play 2.20 并且我的播放服务器通过以下命令在端口 9443 上运行良好

./start -Dhttps.port=9443 -Dhttps.keyStore=/home/ubuntu/ssl/tomcat.keystore -Dhttps.keyStorePassword=mypasswd

但是当我想通过以下命令在端口 443 上运行播放服务器时

./start -Dhttps.port=9443 -Dhttps.keyStore=/home/ubuntu/ssl/tomcat.keystore -Dhttps.keyStorePassword=mypasswd

它给了我错误

Play server process ID is 12425
SLF4J: Class path contains multiple SLF4J bindings.
SLF4J: Found binding in [jar:file:/home/ubuntu/web-1.0-SNAPSHOT/lib/org.slf4j.slf4j-    log4j12-1.6.1.jar!/org/slf4j/impl/StaticLoggerBinder.class]
SLF4J: Found binding in [jar:file:/home/ubuntu/web-1.0-SNAPSHOT/lib/ch.qos.logback.logback-classic-1.0.13.jar!/org/slf4j/impl/StaticLoggerBinder.class]
SLF4J: See http://www.slf4j.org/codes.html#multiple_bindings for an explanation.
SLF4J: Actual binding is of type [org.slf4j.impl.Log4jLoggerFactory]
log4j:WARN No appenders could be found for logger (com.jolbox.bonecp.BoneCPConfig).
log4j:WARN Please initialize the log4j system properly.
log4j:WARN See http://logging.apache.org/log4j/1.2/faq.html#noconfig for more info. …

在 Ubuntu 12.01 LTS 上将 Apache 和 PHP 升级到最新版本后，其上的 SSL 站点变得无法访问，并显示错误“ssl_error_no_cypher_overlap”。

我尝试使用生成新的自签名 SSL 证书 openssl req -x509 -nodes -days 1826 -newkey rsa:2048 -keyout apache_x509_RSA-2048_days-1826_013115.key -out apache_x509_RSA-2048_days-1826_013115.crt

但是当我运行时： /etc/ssl/our_certs# sslscan --no-failed mydomain.com

我懂了：

                   _
           ___ ___| |___  ___ __ _ _ __                                           
          / __/ __| / __|/ __/ _` | '_ \                                          
          \__ \__ \ \__ \ (_| (_| | | | |                                         
          |___/___/_|___/\___\__,_|_| |_|                                         

                  Version 1.8.2                                                   
             http://www.titania.co.uk                                             
        Copyright Ian Ventura-Whiting 2009                                        

Testing SSL server mydomain.com on port 443

  Supported Server …

我有一些脚本使用了一些 openssl PHP 函数，例如 openssl_opbkdf2。我正在从 Ubuntu 服务器迁移到新创建的 CentOS 7 服务器，并全新安装整个 LAMP 堆栈。尽管经过数小时的谷歌搜索，我还是无法弄清楚如何启用这些 PHP 功能。 这是一个说明我的问题的链接。而这里是一个链接，显示我的当前配置。

从信息列表中可以看出，OpenSSL 已安装并正常工作。我能找到的每一个迹象都让我相信这些命令应该可用。但他们不是！我错过了什么？

我理解为什么需要 SSL 警告以及为什么应该防止用户，甚至是有经验的用户轻易忽略它们。我也明白，一般来说，“白名单”或受信任的不可信根 CA 方法是在日常工作站上工作的最佳方法，您还可以在其上进行银行业务、交易或发送电子邮件。

也就是说，如果我Internet Explorer 8在一个无法访问 Internet 的新配置的测试盒上使用，那么我必须不断单击一两个按钮来管理服务器，https://my-vm-213.goofy.local或者在任何情况下都没有任何意义。如果我们正在处理大量上下左右的主机，那么花点时间添加根 CA 是没有意义的，这些根 CA 添加起来很愚蠢并且没有理由存在于其中小时。

我的问题是：有没有办法“始终通过”SSL 检查：

1. 在 Windows 操作系统级别？（由Certificates mmcGUIcertutil等管理的相同子系统。
2. 在浏览器级别？- 适用于任何主流浏览器，尤其是Internet Explorer
3. 在类 Unix 系统上的最低级别？（我认为这是，OpenSSL但我真的不知道）

对我来说，这将是这样的：

( X ) Always validate SSL certificates (DANGEROUS!)

下面更合理化

如果您知道自己在实验室环境或新配置的环境或小型企业环境中工作，严格来说是与系统相关的问题，那么在保密性或完整性（或缺乏相关意识）方面，当您总是禁止 SSL 警告，因为您已经知道它们会出现。我想您可能会争辩说，“好吧，如果有人知道您对此如此松懈并通过专门针对您要压制的那些类型的主机来利用它，该怎么办”，但该论点仅在 a) 有任何明显的手段时才成立利用您对内联网应用程序的 IE8 浏览器兼容性测试，b) 您错误地配置了您的虚拟机网络，实际上允许它通过其网关传输或接收数据包，以及其他原因，但最重要的是，c) 您曾经做过任何事情由于在您知道会产生该警告的主机上工作时该警告的结果不同。

我需要通过 HTTP 访问一些图像和 JS 文件，但是如果我使用 启用 HSTS add_header Strict-Transport-Security "max-age=31536000";，则所有文件都通过 HTTPS 强制提供。

所以我使用了add_header Strict-Transport-Security "max-age=0;".

是否有启用 HSTS 的通过 HTTP 访问文件的方法？

我正在尝试获取可以为客户端和 ALB 之间的请求解密的 wireshark 跟踪。为了解密交易，我需要强制客户端/服务器禁用 PFC（完美前向保密）。我可以访问服务器私钥。

当我这样做时：

openssl s_client -connect server:443 -debug -msg -state -cipher AES128-SHA

有用。

但是，当我这样做时：

openssl s_client -connect keystone-ext.develop.zillow.net:443 -debug -msg -state -cipher AES128-SHA -ssl3

它失败。输出如下：

SSL3 alert read:fatal:handshake failure SSL_connect:failed in SSLv3
read server hello A 31996:error:14094410:SSL
routines:SSL3_READ_BYTES:sslv3 alert handshake
failure:/BuildRoot/Library/Caches/com.apple.xbs/Sources/OpenSSL098/OpenSSL098-64.50.7/src/ssl/s3_pkt.c:1145:SSL
alert number 40 31996:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl
handshake
failure:/BuildRoot/Library/Caches/com.apple.xbs/Sources/OpenSSL098/OpenSSL098-64.50.7/src/ssl/s3_pkt.c:566:

我在用：

$ openssl version OpenSSL 0.9.8zh 14 Jan 2016

知道我做错了什么吗？

Centos 7 上的 VPS 附带了非常旧版本的 openssl。我构建并安装了较新版本的 openssl。（详细信息如下）安装这个较新的 openssl 只是为了升级到更新版本的curl。其目的是按位置专门调用此curl，而不是将其集成到任何其他程序中。

显然，安装导致了 exim 的问题（谁知道还有什么问题）。现在，由于找不到 libssl.so.1.1，更新 exim 失败。

openssl 二进制文件可以对系统/usr/local/openssl/bin/openssl隐藏吗？（以便 exim 会更新）我不太确定 exim 构建中发生了什么，但当然它之前有效。

我想有两种解决方案是将 openssl 安装移动到 /opt 或将 openssl 重命名为其他名称。不过，我想了解是否有更简单的解决方案。

欢迎所有想法。感谢您考虑这一点。

一些系统信息：

[root@vps ~]# which openssl
/usr/bin/openssl

[root@vps ~]# whereis openssl
openssl: /usr/bin/openssl /usr/lib64/openssl /usr/include/openssl /usr/local/openssl /usr/share/man/man1/openssl.1ssl.gz /usr/share/man/man1/openssl.1

[root@vps ~]# /usr/bin/openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017

[root@vps ~]# /usr/lib64/openssl version
-bash: /usr/lib64/openssl: Is a directory

[root@vps ~]# /usr/include/openssl version
-bash: /usr/include/openssl: Is a directory

[root@vps ~]# /usr/local/openssl/bin/openssl …