Как сгенерировать ключ openSSL, используя кодовую фразу из командной строки?

Во-первых, что произойдет, если я не дам пароль? Используется ли какая-то псевдослучайная фраза? Я просто ищу что-то «достаточно хорошее», чтобы держать в страхе случайных хакеров.

Во-вторых, как мне сгенерировать пару ключей из командной строки, указав кодовую фразу в командной строке?

Я наконец-то заставил его работать с помощью этих команд, используя exec (), который обычно считается небезопасным для использования, лучше передать PassPhrase в файле. Я могу принять этот риск, так как уверен, что PHP будет запускаться только на моем ПК (который работает под управлением Windows и не имеет команды PS).

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 2048
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

Большое спасибо @caf, без которого это было бы невозможно.

Сожалею только об одном - что, сколько бы я ни гуглил, никто не может начать openssl_pkey_new()работать с Xampp в Windows (что является правильным способом создания пары ключей)

Если вы не используете парольную фразу, то закрытый ключ не шифруется каким-либо симметричным шифром - он выводится полностью незащищенным.

Вы можете сгенерировать пару ключей, указав пароль в командной строке, используя такой вызов (в данном случае пароль foobar):

openssl genrsa -aes128 -passout pass:foobar 3072

Однако обратите внимание, что эта кодовая фраза может быть перехвачена любым другим процессом, запущенным на компьютере в то время, поскольку аргументы командной строки обычно видны всем процессам.

Лучшая альтернатива - записать кодовую фразу во временный файл, защищенный правами доступа к файлу, и указать, что:

openssl genrsa -aes128 -passout file:passphrase.txt 3072

Или введите кодовую фразу на стандартный ввод:

openssl genrsa -aes128 -passout stdin 3072

Вы также можете использовать именованный канал с file:опцией или дескриптор файла.

Чтобы затем получить соответствующий открытый ключ, вам необходимо использовать openssl rsa, указав ту же парольную фразу с -passinпараметром, которая использовалась для шифрования закрытого ключа:

openssl rsa -passin file:passphrase.txt -pubout

(Это ожидает зашифрованный закрытый ключ на стандартном вводе - вместо этого вы можете прочитать его из файла, используя -in <file>).

Пример создания 3072-битной пары закрытого и открытого ключей в файлах, при этом пара закрытых ключей зашифрована паролем foobar:

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 3072
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

genrsaбыл заменен наgenpkey & при запуске вручную в терминале он запросит пароль:

openssl genpkey -aes-256-cbc -algorithm RSA -out /etc/ssl/private/key.pem -pkeyopt rsa_keygen_bits:4096

Однако при запуске из сценария команда не запрашивает пароль, чтобы пароль не отображался в процессе, используйте функцию в shellсценарии:

get_passwd() {
    local passwd=
    echo -ne "Enter passwd for private key: ? "; read -s passwd
    openssl genpkey -aes-256-cbc -pass pass:$passwd -algorithm RSA -out $PRIV_KEY -pkeyopt rsa_keygen_bits:$PRIV_KEYSIZE
}