วัตถุประสงค์ของอาร์กิวเมนต์ -nodes ใน openssl คืออะไร?

Question 1

วัตถุประสงค์ของ-nodesอาร์กิวเมนต์ใน openssl คืออะไร?

Question 2

ตัวเลือก-nodesนี้ไม่ใช่คำภาษาอังกฤษ "nodes" แต่เป็น "no DES" เมื่อกำหนดเป็นอาร์กิวเมนต์หมายความว่า OpenSSL จะไม่เข้ารหัสคีย์ส่วนตัวในไฟล์PKCS # 12

ในการเข้ารหัสคีย์ส่วนตัวคุณสามารถละเว้น-nodesและคีย์ของคุณจะถูกเข้ารหัสด้วย 3DES-CBC การเข้ารหัสคีย์ OpenSSL แจ้งให้คุณใส่รหัสผ่านและจะใช้รหัสผ่านที่จะสร้างคีย์การเข้ารหัสโดยใช้ฟังก์ชั่นคีย์รากศัพท์EVP_BytesToKey

ทั้งนี้ขึ้นอยู่กับรุ่นของ OpenSSL และตัวเลือกการรวบรวมคุณอาจจะสามารถให้ตัวเลือกเหล่านี้ในสถานที่ของ-nodes:

-des          encrypt private keys with DES
-des3         encrypt private keys with triple DES (default)
-idea         encrypt private keys with idea
-seed         encrypt private keys with seed
-aes128, -aes192, -aes256
              encrypt PEM output with cbc aes
-camellia128, -camellia192, -camellia256
              encrypt PEM output with cbc camellia

ในที่สุดที่ระดับไลบรารี OpenSSL เรียกใช้ฟังก์ชันPEM_write_bio_PrivateKeyด้วยอัลกอริทึมการเข้ารหัส (หรือไม่มี) ที่คุณเลือก

Question 3

แก้ไข: nginx v1.7.3 ได้เพิ่มคำสั่งssl_password_fileซึ่งอ่านข้อความรหัสผ่านจากไฟล์ที่ระบุโดยพยายามใช้ข้อความรหัสผ่านแต่ละข้อความในบริบทที่เข้ารหัส-private.key

บุคคลที่ถูกต้องว่า-nodesอาร์กิวเมนต์หมายความว่า OpenSSL จะสร้างที่ไม่ได้เข้ารหัสprivate.key ; มิฉะนั้นจะมีรหัสผ่านพร้อมที่จะสร้างการเข้ารหัส-private.key ดูreq , pkcs12 , CA.pl

อย่างไรก็ตามฉันรู้สึกว่าจุดประสงค์ (สำหรับโปรแกรมเมอร์) เป็นเพราะ:

เซิร์ฟเวอร์ HTTP (เช่นApache , Nginx ) ไม่สามารถอ่านรหัสส่วนตัวที่เข้ารหัสโดยไม่มีข้อความรหัสผ่าน→
- ตัวเลือก A - ทุกครั้งที่เซิร์ฟเวอร์ HTTP เริ่มทำงานต้องระบุข้อความรหัสผ่านสำหรับการเข้ารหัส - private.key
- ตัวเลือก B - ระบุssl_password_file file.keys;ในhttp { }หรือserver { }บริบท [ อ้างอิง ]
- ตัวเลือก C - ใช้-nodesเพื่อสร้างprivate.keyโดยไม่ต้องเข้ารหัส

มีประโยชน์: ล็อคprivate.key

{เพิ่มเซิร์ฟเวอร์ HTTP ในกลุ่มssl-cert }
sudo chown root:ssl-cert private.key- ch Ange เองเอ้อของprivate.keyเพื่อรากใช้งานSSL-CERTกลุ่ม
sudo chmod 640 private.key- เปลี่ยนสิทธิ์การเข้าถึงของprivate.keyให้กับเจ้าของ R / W, group R
ตอนนี้เซิร์ฟเวอร์ HTTP ควรจะสามารถที่จะเริ่มต้นและอ่านไม่ได้เข้ารหัสprivate.key

ตัวเลือกก

ความปลอดภัยที่แข็งแกร่งยิ่งขึ้น แต่เมื่อเซิร์ฟเวอร์รีสตาร์ทต้องพิมพ์ข้อความรหัสผ่านด้วยตนเองสำหรับการเข้ารหัส-private.key

ตัวเลือก B

ความปลอดภัยปานกลางและอาจมีความสมดุลที่ดีระหว่าง A / C

ตัวเลือก C

การรักษาความปลอดภัยที่อ่อนแอยังไม่ได้รับการแจ้งเตือนสำหรับ unencrypted private.keyวลีรหัสผ่าน