ruby open ssl api for encrypted key(without nodes option)

Question

在安装了openssl lib的linux机器上,当您使用"-nodes"选项执行"openssl pkcs12"时,您将获得未加密的私钥输出,但如果跳过-nodes选项,则输出将具有加密的私钥.

     e.g.
             openssl pkcs12 -in test.pfx -out test.pem 

您应该看到加密的私钥如下所示

-----开始
加密的私人密钥----- MIIFDjBABgkqhkiGG7s =
-----结束加密的私钥-----

如何使用ruby的open ssl库实现上述功能？

这就是我用ruby生成私钥的方法:

    @private_key = OpenSSL::PKey::RSA.new 2048
    @private_key.to_pem.to_s

编辑:

我想我的问题是这个命令如何加密私钥:

openssl pkcs12 -in test.pfx -out test.pem

然而:

"openssl pkcs12 -nodes -in test.pfx -out test.pem"

才不是.如何使用ruby获得相同的结果？

Answer 1

这其中一定还有其他原因。也许这个问题需要细化。据我所知，您想要打印 PEM 格式的私钥。我不是 ruby​​ 程序员，但通过阅读ruby​​-docs.org上的内容，我在大约 3 分钟内就完成了这个工作：

$ cat ssl.rb 
require 'openssl'
key = OpenSSL::PKey::RSA.new 2048
cipher = OpenSSL::Cipher.new 'AES-128-CBC'
pass_phrase = 'my secure pass phrase goes here'
key_secure = key.export cipher, pass_phrase
puts key_secure

选择您的密码和密码，瞧，您已经使用对称密码加密了密钥：

$ ruby ssl.rb
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,D8062F93C8854E593602D503E1FAC309

UsNQt/Bq7QBldOBU7NW6miCDuC+ODpeplaWQ9BvJW4Wg7j0AbKgMZAn7juegAbjG
JVkpdDNzhs37UVWmqwg64yYP6KEBGg4zCog2a993UHRvFTQb6tyugKHc+uFeyY+D
...
-----END RSA PRIVATE KEY-----

您还有其他想做的事情吗？

--

编辑：询问者已澄清，问题是在openssl pkcs12不使用该-nodes选项时使用哪种加密。

该-nodes选项关闭 DES 加密。 此页面显示私钥创建的默认加密是三重 DES，但我没有看到有关哪个 DES 选项的详细信息。手册中也提到了这一点man pkcs12。无论如何，我还不清楚您是否需要确切地知道 openssl 使用哪种密码，或者您的问题现在是否得到解答。

你可以像这样列出 ruby​​ 的可用密码：

puts OpenSSL::Cipher.cipher 

（如文档中指定）

在我的系统上，有相当多的 DES 密码具有不同的参数：

des
des-cbc
des-cfb
des-cfb1
des-cfb8
des-ecb
des-ede
des-ede-cbc
des-ede-cfb
des-ede-ofb
des-ede3
des-ede3-cbc
des-ede3-cfb
des-ede3-cfb1
des-ede3-cfb8
des-ede3-ofb
des-ofb
des3
desx
desx-cbc

我不确定 PKCS12 规范是否规定应使用哪种 DES 密码，或者 openssl 是否只有默认值。您是否想弄清楚 OpenSSL 使用哪种 DES 密码？

我进一步查看了openssl wiki，发现了 CBC 模式下对 DES 的引用，所以我猜测您正在寻找的密码是 DES-EDE3-CBC。

抱歉，我想您仍然不完全清楚您要回答的问题是什么。如果您想要做的是在不使用时确切地了解 openssl 如何对私钥进行编码，-nodes您可以通过cat将文件放入openssl asn1parse. 也许这会有所帮助：您可以从您从 ruby​​ 程序获取的纯文本 rsa 私钥开始：

$ cat key.pem
-----BEGIN RSA PRIVATE KEY-----
MIIEpA....
-----END RSA PRIVATE KEY
$ cat key.pem | openssl asn1parse
    0:d=0  hl=4 l=1188 cons: SEQUENCE          
4:d=1  hl=2 l=   1 prim: INTEGER           :00
7:d=1  hl=4 l= 257 prim: INTEGER       ...

您将看到它被编码为长整数的ASN1 序列。

但是，如果您将密钥进行以下往返pkcs12：

$ openssl pkcs12 -inkey key.pem -out key.pfx -export -nocerts -nodes
(choose a password)
$ openssl pkcs12 -in key.pfx -out outkey.pem -nodes
(enter password)

您会发现您的密钥现在被包裹在一个新的结构中，您可以使用以下命令asn1parse：

cat keyout.pem | openssl asn1parse
    0:d=0  hl=4 l=1214 cons: SEQUENCE          
    4:d=1  hl=2 l=   1 prim: INTEGER           :00
    7:d=1  hl=2 l=  13 cons: SEQUENCE          
    9:d=2  hl=2 l=   9 prim: OBJECT            :rsaEncryption

您现在拥有一个 ASN1 rsaEncryption 对象，其有效负载为一个大八位字节字符串。

这就是你想了解的吗？这些值是如何封装在ASN1中的？