Wie generiere ich einen openSSL-Schlüssel mit einer Passphrase über die Kommandozeile?

Erstens - was passiert, wenn ich keine Passphrase gebe? Wird eine Art Pseudozufalls-Phrase verwendet? Ich bin nur auf der Suche nach etwas "Gut genug", um gelegentliche Hacker in Schach zu halten.

Zweitens: Wie generiere ich ein Schlüsselpaar aus der Befehlszeile und gebe die Passphrase in der Befehlszeile ein?

Ich habe es endlich mit diesen Befehlen zum Laufen gebracht, mit exec (), dessen Verwendung im Allgemeinen als nicht sicher angesehen wird, da es besser ist, die PassPhrase in einer Datei anzugeben. Ich kann dieses Risiko akzeptieren, da ich sicher bin, dass PHP immer nur auf meinem PC ausgeführt wird (auf dem Windows ausgeführt wird und kein PS-Befehl vorhanden ist).

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 2048
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

Vielen vielen Dank an @caf, ohne den dies nicht möglich gewesen wäre.

Nur ein Bedauern - egal wie viel ich google, niemand kann scheinen, openssl_pkey_new()mit Xampp unter Windows zu arbeiten (was der richtige Weg ist, um ein Schlüsselpaar zu generieren)

Wenn Sie keine Passphrase verwenden, wird der private Schlüssel nicht mit einer symmetrischen Verschlüsselung verschlüsselt - er wird völlig ungeschützt ausgegeben.

Sie können ein Schlüsselpaar generieren, indem Sie das Kennwort in der Befehlszeile mithilfe eines Aufrufs wie (in diesem Fall lautet das Kennwort foobar) eingeben :

openssl genrsa -aes128 -passout pass:foobar 3072

Beachten Sie jedoch, dass diese Passphrase von jedem anderen Prozess erfasst werden kann, der zu diesem Zeitpunkt auf dem Computer ausgeführt wird, da Befehlszeilenargumente im Allgemeinen für alle Prozesse sichtbar sind.

Eine bessere Alternative besteht darin, die Passphrase in eine temporäre Datei zu schreiben, die mit Dateiberechtigungen geschützt ist, und Folgendes anzugeben:

openssl genrsa -aes128 -passout file:passphrase.txt 3072

Oder geben Sie die Passphrase bei der Standardeingabe ein:

openssl genrsa -aes128 -passout stdin 3072

Sie können auch eine Named Pipe mit der file:Option oder einen Dateideskriptor verwenden.

Um dann den passenden öffentlichen Schlüssel zu erhalten, müssen Sie openssl rsadieselbe Passphrase mit dem -passinParameter angeben, der zum Verschlüsseln des privaten Schlüssels verwendet wurde:

openssl rsa -passin file:passphrase.txt -pubout

(Dies erwartet den verschlüsselten privaten Schlüssel bei der Standardeingabe - Sie können ihn stattdessen mit aus einer Datei lesen -in <file>.)

Beispiel für die Erstellung eines 3072-Bit-Paares aus privatem und öffentlichem Schlüssel in Dateien, wobei das private Schlüsselpaar mit einem Kennwort verschlüsselt ist foobar:

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 3072
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

genrsawurde durchgenpkey & ersetzt, wenn es manuell in einem Terminal ausgeführt wird, werden Sie zur Eingabe eines Kennworts aufgefordert:

openssl genpkey -aes-256-cbc -algorithm RSA -out /etc/ssl/private/key.pem -pkeyopt rsa_keygen_bits:4096

Wenn der Befehl jedoch über ein Skript ausgeführt wird, werden Sie nicht nach einem Kennwort gefragt. Um zu vermeiden, dass das Kennwort als Prozess angezeigt werden kann, verwenden Sie eine Funktion in einem shellSkript:

get_passwd() {
    local passwd=
    echo -ne "Enter passwd for private key: ? "; read -s passwd
    openssl genpkey -aes-256-cbc -pass pass:$passwd -algorithm RSA -out $PRIV_KEY -pkeyopt rsa_keygen_bits:$PRIV_KEYSIZE
}