主页 / server / 问题 / 392859
Accepted
Stéphane
Asked: 2012-05-26 21:58:44 +0800 CST

openssl 是否总是加密私钥？

  • 772

当使用 openssl 0.9.8 创建一个新的自签名证书+密钥时，有一个-nodes参数可以用来告诉 openssl 不要加密它创建的私钥。例如：

openssl req -x509 -nodes -days 365 \
    -subj '/C=US/ST=Florida/L=Jupiter/CN=test.com' \
    -newkey rsa:1024 -keyout mykey.pem -out mycert.pem

但是对于新的 openssl v1.0.1，似乎该-nodes参数被忽略了。据我所知，私钥始终是加密的。我使用 openssl 错了吗？我应该改用其他参数吗？

该-nodes参数被记录为：

if this option is specified then if a private
key is created it will not be encrypted

来源：http ://www.openssl.org/docs/apps/req.html#item__nodes

询问的更多详细信息：

使用 openssl 0.9.8，密钥 + 证书可以直接导入到我们拥有的其他第三方设备中，这些设备需要未加密的密钥和证书。这没有任何问题。

但是当使用 openssl 1.0.1 时，这些第 3 方设备会抱怨密钥无效。确切的错误信息是：

ERROR: Private key for 'My Cert' does not appear to be a valid
RSA private key in PEM format.

这是一个封闭源系统，它不提供额外的细节。我今天通过使用它发现的是，如果我通过以下命令运行 v1.0.1 私钥：

openssl rsa -in mykey.pem -out decryptedkey.pem

...然后在这一点上，这个第 3 方系统在导入证书和解密密钥时没有问题。当我在 v1.0.1 密钥上运行此命令时：

 openssl rsa -text -in mykey.pem

...私钥的文本与 v1.0.1 mykey.pem 文件中的内容不同。这就是为什么我认为密钥以某种方式加密的原因。

linux openssl private-key

1 个回答

  1. Best Answer

    看起来默认格式在更高版本中已更改。早期版本似乎生成 PKCS#1 RSAPrivateKey 格式，由

    -----BEGIN RSA PRIVATE KEY-----

    并且更高版本生成 PKCS#8 PrivateKeyInfo 格式，由

    -----BEGIN PRIVATE KEY-----

    当你openssl rsa -in mykey.pem -out decryptedkey.pem从转换#8为#1

    • 8

相关问题