Was ist der Zweck des Arguments -nodes in openssl?

Was ist der Zweck des -nodesArguments in openssl?

Die Option -nodesist nicht das englische Wort "node", sondern "no DES". Als Argument bedeutet dies, dass OpenSSL den privaten Schlüssel in einer PKCS # 12- Datei nicht verschlüsselt .

Um den privaten Schlüssel zu verschlüsseln, können Sie ihn weglassen -nodesund Ihr Schlüssel wird mit 3DES-CBC verschlüsselt. Um den Schlüssel zu verschlüsseln, fordert OpenSSL Sie zur Eingabe eines Kennworts auf und verwendet dieses Kennwort, um mithilfe der Schlüsselableitungsfunktion EVP_BytesToKey einen Verschlüsselungsschlüssel zu generieren .

Abhängig von Ihrer OpenSSL-Version und den kompilierten Optionen können Sie diese Optionen möglicherweise anstelle von -nodes:

-des          encrypt private keys with DES
-des3         encrypt private keys with triple DES (default)
-idea         encrypt private keys with idea
-seed         encrypt private keys with seed
-aes128, -aes192, -aes256
              encrypt PEM output with cbc aes
-camellia128, -camellia192, -camellia256
              encrypt PEM output with cbc camellia

Letztendlich ruft OpenSSL auf Bibliotheksebene die Funktion PEM_write_bio_PrivateKey mit dem von Ihnen gewählten Verschlüsselungsalgorithmus (oder dessen Fehlen) auf.

edit: nginx v1.7.3 hat eine zusätzliche ssl_password_file Richtlinie , die jedes Passwort auf den Kontext versucht Paßphrasen aus einer bestimmten Datei liest verschlüsselten private.key

indiv ist richtig, dass das -nodesArgument bedeutet, dass OpenSSL UNencrypted private.key erstellt ; Andernfalls wird eine Passphrase-Eingabeaufforderung zum Erstellen von encrypted-private.key angezeigt . siehe req , pkcs12 , CA.pl.

Ich bin jedoch der Meinung, dass der Zweck (für Programmierer) darin besteht, dass:

• HTTP-Server (z. B. Apache , Nginx ) können encrypted-private.key ohne Passphrase → nicht lesen
  • Option A - muss bei jedem Start des HTTP-Servers eine Passphrase für encrypted-private.key bereitstellen
  • Option B - Angabe ssl_password_file file.keys;in http { }oder server { }Kontext. [ ref ]
  • Option C - Verwenden Sie diese Option -nodes, um private.key ohne Verschlüsselung zu erstellen

nützlich: Sperre nach unten private.key

• {HTTP-Server zur SSL-Cert- Gruppe hinzufügen }
• sudo chown root:ssl-cert private.key- ch ange eigenen ihn von private.key zu root Benutzern, ssl-cert Gruppe
• sudo chmod 640 private.key- Ändern Sie die Zugriffsberechtigungen von private.key in Eigentümer R / W, Gruppe R.
• Jetzt sollte der HTTP-Server UNencrypted private.key starten und lesen können

Option A.

Eine stärkere Sicherheit muss jedoch beim Neustart des Servers die Passphrase für encrypted-private.key manuell eingeben

Option B.

mittlere Sicherheit und wahrscheinlich gute Balance zwischen Klimaanlage

Option C.

schwächere Sicherheit, jedoch NICHT zur Eingabe der unverschlüsselten Passphrase private.key aufgefordert