1、通讯机制：

同一主机间通讯机制：IPC、message quence，shm（共享内存），semerphone

不同主机间通讯机制：socket（ip:port），一般来说socket通讯都是成对出现：CIP:PORT<--->SIP:PORT

2、传输层协议：

tcp、udp、sctp；传输层协议单元为段，用端口区分不同应用

port用来标识进程地址；进程向内核注册使用某端口（独占的）

3、如何保证安全的信息通讯？

ssl：secure socket layer：安全套接字层，ssl是一种规范协议

4、信息安全目标：

保密性：confidentiality；确保通讯的保密性

完整性：integrity；确保信息的完整性，体现在数据的完整性和系统完整性两个层面

有效性（可用性）：

5、***类型：

威胁保密性的***：窃听、通信量分析

威胁完整性的***：更改、伪装、重放、否认

威胁可用性的***：决绝服务

6、安全实现手段：安全通讯解决方案

通过技术实现：加密和解密

传统加密方法：替代加密、置换加密

现代加密方法：现代块加密技术，将存在硬盘上的数据，分成块进行加密。

通过服务实现：用于抵御***的服务，也就是说为了实现上述安全目标而特地设计的安全服务。

认证机制

访问控制机制

秘钥算法和协议（专用于密码交换）

6.1、linux系统实现上述解决方案工具主要有两个：openssl、GPG

openssl由三部分组成：

libencrypt库：实现加密解密的库

libssl库：实现ssl安全通信的库

openssl工具：命令行工具，多用途，可以实现前两者的功能

6.2、密钥算法和协议：

对称加密：主要用来加密数据；DES、3DES、AES

公钥加密：主要用来加密对称加密密钥；RSA、DSA

单向加密：主要用来提取数据特征码；md5、sha1、sha224、sha256、sha384、sha512

认证协议：主要用来进行密钥交换

6.2.1、对称加密： 加密和解密使用同一个密钥，但是加密和解密的算法可能不同。 对称加密算法主要有：des（56位加密技术）、3des、aes（advance encryption standard；128bits、192bits、256bits、384bits）、blowfish、twofish、idea、rc6等等；常用的是3des和aes。 对称加密特性： ①、加密解密使用同一个密钥 ②、将原始的数据分隔成固定的大小的块，逐个进行加密 对称加密的缺陷： ①密钥过多（体现在服务端和众多客户端通讯时，需要每个通讯都有一个单独的密钥） ②密钥分发困难

6.2.2、公钥加密： 密钥成对出现，有公钥和私钥。 公钥：publickey，公开给所有人；公钥从私钥中提取产生 私钥：secretkey：通过工具创建；使用者自己留存，必须保证其私密性。 公钥加密特性： ①、用公钥加密的数据只能由对应的私钥进行机密，反之亦然。 公钥加密用途： ①、数字签名：主要在于让接收方确认发送发的身份。 ②、密钥交换：发送方用对方公钥加密一个对称密钥，发送给对方。 ③、数据加密：主要加密对称密钥 数字签名的实现过程： 以a用户和b用户通讯为例 ①、a用户发送数据给b用户，a需要用到单向算法提取发送数据的特征码，由于单向算法有雪崩效应，改动很小一部分，特征码就会发生很大变化 ②、a用户用自己的私钥加密这段特征码，并将其附加在这段数据的后面（如果用私钥加密原始数据，消耗内存、cpu） ③、a用户生成一个临时的对称加密密钥，并使用这个密钥加密原始数据和特征码，生成的新的数据 ④、a用户获取b用户的公钥，并用b用户的公钥加密a的对称密码，将其附在③中新生成数据包的后面，然后将整个数据包发送给b用户。 ⑤、b用户用自己的私钥去解密a用户用b的公钥加密的数据，得到③中的数据和④中的加密后的对称密钥并将其解密成明文对称密钥。 ⑥、b用户用a的对称密钥解密③中的数据，得到原始数据和原始数据提取的加密后的特征码 ⑦、b用户用a的公钥去解密②中的a私钥加密的特征码，如果可以解密，a用户的身份得到验证。 ⑧、b用同样的单向加密算法去计算原始数据的特征码，如果一样，完整性得到了验证，否则说明数据被篡改过。 其中①-④说明了加密的过程，⑤-⑧说明了数字签名和完整性验证。但是，此处有个问题，怎么确保对方的公钥是安全的，就是他们需要发送对方的呢？因此有了第三方公证机构（CA：证书颁发机构） 公钥加密常用算法： DSA：只能用于实现数字签名，不能实现加密解密 RSA：既能实现数字签名又能实现加密、解密。

6.2.3、单向加密：只能实现加密，不能实现解密，用于提取数据指纹 单向加密特征： 定长输出、雪崩效应 单向加密功能： 用于实现完整性 单向加密算法： md5：messagedigest，消息摘要，5是版本号，128bits定长输出 sha1：secure hash algorithm，1是版本号，160bits定长输出 sha224、sha256、sha384、sha512 注意：对于centos6、7来说，密码加密已从centos5中的md5切换到sha512了。

6.2.4、认证协议：和加密算法相关的协议，密钥交换，IKE（internet key exchange） 密钥交换：IKE 公钥加密：密钥在网上传输 DH（diffie-hellman）：密钥不在网上传输，更安全些

6.3、PKI：pulic keyinfrastructure；公钥基础设施

组件如下：

签证机构：CA

注册机构：RA

证书吊销列表：CRL

证书存取库：CB

证书：数字证书标准（x.509），它定义了证书的结构以及认证协议标准

证书组成部分：

①版本号

②序列号

③签名算法ID

④发行者名称

⑤有效期限

⑥主体名称

⑦主体公钥

⑧发行者的唯一标识

⑨主体的唯一标识

⑩拓展信息

11.发行者的签名

其中①-⑤为签证机构信息，⑥-⑩为个人信息，11为发证机构

7、SSL和TLS协议：

ssl：secure socket layer，安全套接字层在ip层和传输层之间衔接，有网警公司开发

ssl v1.0（已废弃）、ssl v2.0（已废弃）、ssl v3.0

tls：transport layer security，传输层协议安全，由ITEF研发

tls v1.0 、tls v1.1 、tls v1.2 、tls v1.3（草案）

tls分层设计：

最底层：基础算法原语的实现，aes，rsa，MD5

向上一层：各种算法的实现

再向上一层：组合算法实现的半层品

最顶层：用各种组件拼装而成的各种成品密码学协议软件。

注意：实现ssl协议和tls协议的软件的有很多，著名的开源软件有：openssl。

8、openssl组件：

libcrypto库：实现加密解密，主要由开发者使用

libssl库：实现ssl功能，主要由开发者使用

openssl：多用途的明林工具

9、ssl会话步骤：

客户端向服务端索要并验证证书

双方协商生成“会话密钥”

双方采用“会话密钥”进行加密通信

ssl会话流程：ssl handshank，有四个阶段

第一阶段：client hello

向服务器端发送①、支持的协议版本，比如tls1.2；②、客户端生成一个随机数，稍后用户生成“会话密钥”，③、支持的加密算法，比如rsa、aes，④、支持的压缩算法

第二阶段：server hello

①、确认使用的加密通信协议版本，比如tls1.2

②、服务器端生成一个随机数，稍后用于生成“会话密钥”

③、确认使用的加密算法

④、服务端发送自己的证书

⑤、索要客户端证书（可省）

第三阶段：client端收到serverhello后的回应

①、验证服务器证书，（证书发放机构、证书完整性、证书持有者、证书有效性、吊销列表等）

②、确认以上信息无误后，取出其公钥

③、发送以下信息给服务器端：

一个随机数：用于服务器上的公钥加密

编码变更通知：表示随后信息都将用双方协定的加密算法加密后发送

客户端握手结束通知

第四阶段：服务端收到客户端发送来的信息

①、收到客户端发送来的第二个随机数，pre-master-key后，计算生成本次会话所用到的“会话密钥”

②、向客户端发送以下信息：

编码变更通知：表示随后的信息都将用双方协定的加密方法和密钥发送

服务端握手结束通知

---

---

10、openssl命令：

命令格式：openssl command [ command_opts ] [ command_args ]

openssl命令有如下三类：

标准命令

消息摘要命令

加密命令

[root@localhost httpd]# openssl ? openssl:Error: '?' is an invalid command. Standard commands asn1parse         ca                ciphers           cms crl               crl2pkcs7         dgst              dh dhparam           dsa               dsaparam          ec ecparam           enc               engine            errstr gendh             gendsa            genpkey           genrsa nseq              ocsp              passwd            pkcs12 pkcs7             pkcs8             pkey              pkeyparam pkeyutl           prime             rand              req rsa               rsautl            s_client          s_server s_time            sess_id           smime             speed spkac             ts                verify            version x509 Message Digest commands (see the `dgst' command for more details) md2               md4               md5               rmd160 sha               sha1 Cipher commands (see the `enc' command for more details) aes-128-cbc       aes-128-ecb       aes-192-cbc       aes-192-ecb aes-256-cbc       aes-256-ecb       base64            bf bf-cbc            bf-cfb            bf-ecb            bf-ofb camellia-128-cbc  camellia-128-ecb  camellia-192-cbc  camellia-192-ecb camellia-256-cbc  camellia-256-ecb  cast              cast-cbc cast5-cbc         cast5-cfb         cast5-ecb         cast5-ofb des               des-cbc           des-cfb           des-ecb des-ede           des-ede-cbc       des-ede-cfb       des-ede-ofb des-ede3          des-ede3-cbc      des-ede3-cfb      des-ede3-ofb des-ofb           des3              desx              idea idea-cbc          idea-cfb          idea-ecb          idea-ofb rc2               rc2-40-cbc        rc2-64-cbc        rc2-cbc rc2-cfb           rc2-ecb           rc2-ofb           rc4 rc4-40            seed              seed-cbc          seed-cfb seed-ecb          seed-ofb          zlib [root@localhost httpd]#

10.1、openssl实现对称加密：

openssl enc -ciphername [-in filename] [-out filename] [-pass arg] [-e] [-d] [-a/-base64] [-A] [-k password] [-kfile filename] [-K key] [-iv IV] [-S salt] [-salt] [-nosalt]          [-z] [-md] [-p] [-P] [-bufsize number] [-nopad] [-debug] [-none] [-engine id]

工具：openssl enc

支持算法：3des、aes、blowfish、towfish

加密示例：

[root@localhost sh]# openssl enc -e -des3 -a -salt -in /etc/fstab -out /tmp/fstab.cipertext   //-in：要加密的文件，-out：加密后的文件，-e：加密

解密示例：

[root@localhost sh]# openssl enc -d -des3 -a -salt -in /tmp/fstab.cipertext -out /tmp/fstab.plain  //-d：解密

10.2、openssl实现单向加密：

openssl dgst [-md5|-md4|-md2|-sha1|-sha|-mdc2|-ripemd160|-dss1] [-c] [-d] [-hex] [-binary] [-out filename] [-sign filename] [-keyform arg] [-passin arg] [-verify filename]         [-prverify filename] [-signature filename] [-hmac key] [file...]

[md5|md4|md2|sha1|sha|mdc2|ripemd160] [-c] [-d] [file...]

工具：openssl dgst

支持的算法：md5sum、sha1sum、sha224sum、...

加密示例：

[root@localhost sh]# openssl dgst -md5   /etc/fstab

MD5(/etc/fstab)= ec11d9db3a8d8a8dabfe0d98af76ac46

[root@localhost sh]# md5sum /etc/fstab

ec11d9db3a8d8a8dabfe0d98af76ac46  /etc/fstab

[root@localhost sh]#

生成用户密码工具：passwd、openssl passwd

[root@localhost sh]# man sslpasswd

openssl passwd [-crypt] [-1] [-apr1] [-salt string] [-in file] [-stdin] [-noverify] [-quiet] [-table] {password}   //salt：随机数

示例：

[root@localhost sh]# openssl passwd  -1 -salt 12345678   //-1：表示md5加密，salt表示随机数

Password:

$1$12345678$KShFLCowWE89oV0dKisl2/

[root@localhost sh]#

[root@localhost sh]# openssl passwd -1 -salt $(openssl rand -hex 5)

Password:

$1$cccd731d$6j3DLRtJZqurDiprU/7oz0

[root@localhost sh]#

生成随机数：工具openssl rand

查看rand在哪些章节有帮助文档

[root@localhost sh]# whatis rand

rand (3)             - pseudo-random number generator

sslrand (1ssl)       - generate pseudo-random bytes

rand (3p)            - pseudo-random number generator

[root@localhost sh]#

rand命令用法：openssl rand [-out file] [-rand file(s)] [-base64] [-hex] num   //base64表示：用ASCII码表示输出的文件（A-Z），-hex表示仅以16进制（1-F）表示数据

示例：

[root@localhost sh]# openssl rand  -base64 16

QbOTMmR3cpp5+Y2eKIoN3g==

[root@localhost sh]#

[root@localhost sh]# openssl rand  -hex 16

f41d01d6774f77029dd8ea46ca3214e8

[root@localhost sh]#

10.3、openssl实现公钥加密：

公钥加密的三种功能：

加密、解密：（算法：rsa；工具：openssl rsautl）

数字签名：（算法：rsa、dsa，工具：rsautl）

密钥交换：（算法：D-H）

生成密钥步骤：注意：生成密钥对于公钥加密来说，公钥不是生成的，是从私钥中提取出来的 。

①、生成私钥：

[root@localhost sh]# (umask 077;openssl genrsa -out /a.key 50)  //命令放在括号中运行，表示在当前shell的子shell中运行，运行完则退出，避免对当前shell的影响；-out指出生成的密钥存储的位置，50：表示声场密钥的位长。

Generating RSA private key, 50 bit long modulus

.+++++++++++++++++++++++++++

.+++++++++++++++++++++++++++

e is 65537 (0x10001)

[root@localhost sh]# cat /a.key

-----BEGIN RSA PRIVATE KEY-----

MDcCAQACBwNeIm8b7bkCAwEAAQIHAPfq8fZg4QIEAdutBQIEAc/8JQIEANpH6QID

P5cZAgQAtovS

-----END RSA PRIVATE KEY-----

[root@localhost sh]#

②、生成公钥：从私钥中提取。

[root@localhost sh]# openssl rsa -in /a.key -pubout     //-in：指定从哪个文件提取公钥，-pubout：提取并展示出

writing RSA key

-----BEGIN PUBLIC KEY-----

MCIwDQYJKoZIhvcNAQEBBQADEQAwDgIHA14ibxvtuQIDAQAB

-----END PUBLIC KEY-----

[root@localhost sh]#

------------------------------------------------------------------------------------------------------

linux系统上随机数生成器：

/dev/random：仅从熵池中返回随机数，随机数用尽，进程阻塞

/dev/urandom：从熵池中返回随机数，随机数用尽，会利用软件生成伪随机数，不阻塞进程。但是这中不安全。

熵池中随机数来源：

①、硬盘I/0中断时间间隔

②、键盘I/O中断时间间隔

10.4、CA创建

CA有两种类型：公共信任CA、私有CA。

建立私有CA的方法：openssl命令、openca命令

CA的配置文件：[root@localhost sh]# cat /etc/pki/tls/openssl.cnf

构建私有CA步骤：

①、在确定配置为CA的服务器上生成一个自签证书 ②、并为CA提供所需要的目录及文件即可

私有CA配置示例：

①、生成密钥放在/etc/pki/CA/private/目录下 ，文件名必须为/etc/pki/tls/openssl.cnf中配置的名称。

[root@localhost CA]# (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 40)

[root@localhost CA]# ls /etc/pki/CA/private/ -l   //确保生成的密钥文件的权限为600

total 4

-rw-------. 1 root root 132 Feb  3 10:21 cakey.pem

[root@localhost CA]#

②、生成自签证书(发送申请证书申请）：按配置文件要求配置（certificate = /etc/pki/CA/cacert.pem ）

req：证书请求及证书生成工具。

[root@localhost private]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 365

Country Name (2 letter code) [XX]:cn

State or Province Name (full name) []:beijing

Locality Name (eg, city) [Default City]:beijing

Organization Name (eg, company) [Default Company Ltd]:magedu

Organizational Unit Name (eg, section) []:ops

Common Name (eg, your name or your server's hostname) []:www2.stux.com  //此处要写成客户端访问的服务的主机信息，

Email Address []:

命令解释：

-new：生成新证书签署请求

-x509：生成自签格式证书，专用于创建私有CA时，此处如果不自签，不需要加此项，但是自签，必须要写此项

-key：生成请求时用到的私钥文件路径

-out：生成的请求文件路径；如果自签操作将直接生成签署过的证书

-days：证书的有效时长，单位是days。

③、为ca提供所需要的目录(certs 、crl、 newcerts）和文件(serial、index.txt)，如果这几个个文件不存在 则需要手工创建

[root@localhost CA]# mkdir -pv /etc/pki/CA/{certs,crl,newcerts}

[root@localhost CA]# touch  /etc/pki/CA/{serial,index.txt}    //serial：证书序列号，index.txt：证书数据库

[root@localhost CA]# echo 01 > /etc/pki/CA/serial   //写入一个证书序列号。

至此，私有ca创建完成。

要用到证书进行安全通信的服务器，需要向CA请求签署证书，比如https服务器，步骤如下：

①、用到证书的服务器主机生成私钥（以https主机为例）

[root@localhost CA]# mkdir /etc/httpd/ssl

[root@localhost CA]# cd /etc/httpd/ssl

[root@localhost ssl]# (umask 077;openssl genrsa -out httpd.key 2048)

②、用到证书的服务器主机生成证书签署请求：（因为不是自签，所以不用加-x509）

[root@localhost ssl]# openssl req -new -key httpd.key -out httpd.csr -days 365

③、将请求通过可靠方式发送给ca主机，在CA主机上进行签署。由于是在同一台主机上，因此，直接签署。

[root@localhost ssl]# openssl ca -in httpd.csr -out /etc/pki/CA/httpd.crt -days 365

Using configuration from /etc/pki/tls/openssl.cnf

Check that the request matches the signature

Signature ok

Certificate Details:

Serial Number: 1 (0x1)

Validity

Not Before: Feb 7 23:22:12 2018 GMT

Not After : Feb 7 23:22:12 2019 GMT

Subject:

countryName = cn

stateOrProvinceName = beijing

organizationName = magedu

organizationalUnitName = ops

commonName = www.magedu.com

X509v3 extensions:

X509v3 Basic Constraints:

CA:FALSE

Netscape Comment:

OpenSSL Generated Certificate

X509v3 Subject Key Identifier:

93:33:80:F7:C5:12:6E:2A:22:92:E4:0C:70:56:00:D5:C4:76:6E:70

X509v3 Authority Key Identifier:

keyid:77:55:41:C6:1D:5E:77:43:F8:9E:C0:2E:67:75:87:F4:2F:FE:0E:CC

Certificate is to be certified until Feb 7 23:22:12 2019 GMT (365 days)

Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y

Write out database with 1 new entries

Data Base Updated

[root@localhost ssl]#

④、查看证书信息:（可以在ca和客户机上查看，只要有ca的主机都可以查看）

[root@localhost ssl]# cat /etc/pki/CA/index.txt

V 190207232212Z 01 unknown /C=cn/ST=beijing/O=magedu/OU=ops/CN=www.magedu.com

[root@localhost ssl]#

或 [root@localhost CA]# openssl x509 -in httpd.crt -noout -serial -subject

serial=01

subject= /C=cn/ST=beijing/O=magedu/OU=ops/CN=www.magedu.com

[root@localhost CA]#

⑤、将CA签署过的证书发送给请求的服务器。由于是本机签署，所以不发送，拷贝签署的证书到指定位置。注意：此时的httpd.csr（请求签署文件）可以删除了

[root@localhost CA]# cp /etc/pki/CA/httpd.crt  /etc/httpd/ssl/

10.5、吊销证书：一般私有ca搭建，不用吊销，如果要吊销，一般会用openca工具实现。

①、客户端获取要吊销证书的serial（序列号），（在使用证书的主机上执行）

[root@localhost ssl]# openssl x509 -in /etc/httpd/ssl/httpd.crt -noout -serial -subject

serial=01

subject= /C=cn/ST=beijing/O=magedu/OU=ops/CN=www.magedu.com

[root@localhost ssl]#

②、CA端主机吊销证书

先根据客户提交的serial和subject信息，对比与本机数据库index.txt中存储的是否一致。

[root@localhost ssl]# openssl ca -revoke /etc/pki/CA/newcerts/01.pem

Using configuration from /etc/pki/tls/openssl.cnf

Revoking Certificate 01.

Data Base Updated

[root@localhost ssl]#

③、生成吊销证书编号（第一次吊销证书时执行）

[root@localhost ssl]# echo 01 > /etc/pki/CA/crlnumber

④、更新证书吊销列表

[root@localhost CA]# openssl ca -gencrl -out thisca.crl

⑤、查看crl文件：

#openssl crl -in /PATH/FROM/CRL_FILE.crl -noout -text