以CA为核心生成的一套安全架构体系我们称之为：
PKI：Public Key Infrastructure，公钥基础设施；其包含的内容：
1.签证机构：CA
2.证书注册机构：RA
3.证书吊销列表：CRL
4.证书存取库：CR

国际标准化组织(ISO)定义了证书的结构和认证标准：X.509协议标准：
证书的组成包括：
证书的版本号
证书的序列号
有效期限
签发算法的ID
签发CA的名称
主体的名称
主体的公钥信息
主体的唯一标识符
发证者的唯一标识符
发证者的数字签名
扩展信息

CA如何发挥作用？
1.通信双方互相交换证书；
2.双方验证证书的真伪；
3.双方协商加密算法；
4.用CA颁发的公钥解密证书中的CA签名，能解密就说明证书来源可靠；
5.用协商出来的算法来加密证书，并取得特征值，与解密出来的特征值进行比较，如果相同，说明证书完整性有保证；
6.检查证书的有效期是否合法，如果在有效期内则证书可用；
7.检查证书的主体名称和此次通信的目标是否能够对应；
8.检查证书是否被吊销；

能够实现上述安全加密功能的协议：
SSL：Security Socket Layer，安全套接字层
1994年，Netscape（网景）公司最先声明并实施；
SSL V1.0
SSL V2.0
SSL V3.0

TLS：Transport Layer Security，传输层安全协议；
IETF：Internet Engineering Task Force，互联网工程项目小组；
1999年提出TLS V1.0
2006年提出TLS V1.1
2008年提出TLS V1.2草案，添加了椭圆曲线加密算法；

分层设计方案：
1.最底层：规定了基础算法的原语的实现；包括：AES,md5，sha，...
2.向上一层：各种算法的基本实现；
3.再上一层：各种算法组合实现的半成品；
4.最高层：用各种组件拼装而成的各种成品密码学协议软件；

SSL/TLS的handshake的四个阶段：
1.客户端线服务器索要证书并验证证书；
发送Client Hello的消息，此消息的主要内容：
支持的协议的版本，如：SSL V3.0 ,TSL V1.2
客户端生成一个随机数，稍后用于生成会话密钥；
支持的加密算法，如：DES,3DES,AES,RSA,...
支持的压缩算法，如：gzip,bzip2,deflate,...
2.双方协商生成会话密钥：
发送Server Hello消息，此消息主要内容：
确认使用的协议的版本，如：TLS V1.2
服务器也生成一个随机数，稍后用于生成会话密钥；
确认加密算法和压缩算法；
服务器的证书
3.双方会采用已经生成的会话密钥进行安全加密的数据通信：
客户端验证服务器证书，再确认无误后，取出其中的服务器公钥；
验证服务器证书的步骤：
验证发证机构（CA）
验证证书的完整性
验证证实书的持有者信息
验证证书的有效期
验证CA的吊销列表中是否有此证书
客户端发送信息给服务器端：
客户端再次生成一个随机数用于公钥加密；
编码格式的变更通知，表示以后的信息都将采用双方已经协商好的加密算法和压缩算法；
客户端握手结束；

服务器收到客户端发送来的第三个随机数（Pre_Master_key）；计算生成此次会话所用到的会话密钥，并向客户端发送相关信息；
编码格式的变更通知，表示以后的信息都将采用双方已经协商好的加密算法和压缩算法；
服务器端握手结束；
4.双方互相结束通信；

OpenSSL：开源的实现SSL/TLS协议的事实标准；
主要有三部分组成：
libcrypt：实现加密和解密算法的库
libss：实现SSL协议/TLS协议功能的库
openssl：多用途命令行工具

openssl命令行工具：
众多子命令实现各种安全加密功能；

标准命令：enc，dgst，ca，req，genrsa，rand，rsa，x509，passwd，...对称加密命令：enc主要是提供对称加密算法，以进行数据或文件的手动加密格式：openssl enc -ciphername [-in filename] [-out filename] [-pass arg] [-e] [-d] [-a/-base64]  [-salt] -ciphername:加密算法的名称-in filename：openssl要读取的文件路径-out filename：加密或解密操作后用于保存结果的文件路径-e：加密操作-d：解密操作-a/-base64：用纯文本格式进行密文编码；-salt：随机加盐；示例：加密文件：~]# openssl enc -e des3 -in 123.txt -a -out 123.txt.plaintxt解密文件：~]# openssl enc -d des3 -out 123.txt -a -in 123.txt.plaintxt单向加密命令：dgst示例：~]# openssl dgst -sha1 fstab生成随机数命令：randopenssl rand [-out file] [-rand file(s)] [-base64] [-hex] num示例：~]# openssl rand -base64 8生成带盐的密码：passwdopenssl passwd -1 -salt SALT_STRING示例：~]# openssl passwd -1 -salt 456789Password: $1$456789$HNo/3Ml2mDyCIeduXf8lU0公钥加密算法：genrsa生成rsa加密算法的私钥penssl genrsa [-out filename] [-passout arg] [-des] [-des3] [-idea] [-f4] [-3] [-rand file(s)] [-engine id] [numbits]出于安全考虑，需要给创建的私钥赋予只有拥有者才能读写其他任何人都不能读写的权限；建议使用下列方法生成私钥：~]# (umask 077 ; openssl genrsa -out /tmp/my.key 4096)~]# (umask 077 ; openssl genrsa > /tmp/my.key 4096)从已经生成的私钥文件中抽取公钥：rsaopenssl rsa  [-in filename] [-out filename] [-pubout] -pubout：抽取公钥-in fiename：私钥文件的路径-out filename：公钥文件的路径示例：tmp]# (umask 077 ; openssl genrsa -out /tmp/my.key 4096)tmp]# cat my.key-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----[root@localhost tmp]# openssl rsa -in my.key -out mykey.pub -puboutwriting RSA keytmp]# cat mykey.pub-----BEGIN PUBLIC KEY-----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-----END PUBLIC KEY-----

利用openssl建立私有CA：
1.创建CA所在主机的私钥文件；
2.生成自签证书；
3.必须为CA提供必要的目录级文件及文本级文件：
目录级文件：
/etc/pki/CA/certs
/etc/pki/CA/crl
/etc/pki/CA/newcerts
文本级文件：
/etc/pki/CA/serial:保存证书的序列号，一般初始序列号为01；
/etc/pki/CA/index.txt:保存证书索引；
/etc/pki/tls/openssl.cnf:配置文件；

知道了解就好，不一定要会做，在工作中用不太到 前提是知道了解..
创建私有CA的步骤：
1.创建CA的私钥文件：
(umask 077 ; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048(长度越长安全性越高速度越慢))

2.生成自签证书：
openssl req 命令：
openssl req [-out filename] [-new] [-key filename] [-x509] [-days n]

3.完善目录及文本文件结构：
touch /etc/pki/CA/index.txt
echo 01 > /etc/pki/CA/serial

在CA上查看证书内容：
openssl x509 -in /etc/pki/CA/cacert.pem -noout -serial -subject

创建私有CA示例：
tmp]# ls /etc/pki
CA  ca-trust  java  nssdb  product  product-default  rpm-gpg  rsyslog  tls
tmp]# cd /etc/pki
pki]# cd CA
CA]# ls
certs  crl  newcerts  private
CA]# touch index.txt
CA]# echo 01 > serial
CA]# cat serial
01
CA]# ls
certs  crl  index.txt  newcerts  private  serial
CA]# ls ../tls/
cert.pem  certs  misc  openssl.cnf  private
CA]# (umask 077 ; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)
Generating RSA private key, 2048 bit long modulus
.............+++
.....+++
e is 65537 (0x10001)
CA]# ls private/
cakey.pem
CA]# ll private/
总用量 4
-rw-------. 1 root root 1679 4月  16 15:47 cakey.pem
CA]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3653
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:HB
Locality Name (eg, city) [Default City]:****
Organization Name (eg, company) [Default Company Ltd]:yanshandaxue
Organizational Unit Name (eg, section) []:****
Common Name (eg, your name or your server's hostname) []:xuesheng.ll.com
Email Address []:12354@qq.com
CA]# ls
cacert.pem  certs  crl  index.txt  newcerts  private  serial
CA]# cat cacert.pem
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
CA]# openssl x509 -in cacert.pem  -noout -serial
serial=FA3E829561558A15(序列号)

吊销证书：必须在CA上执行：
1.获取客户端证书对应的序列号：openssl x509 -in /etc/pki/CA/certificate -noout -serial -subject
2.吊销证书：openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem

注意：上述命令中的“SERIAL”是要换成准备吊销的证书的序列号；

3.生成吊销证书的吊销索引文件：仅需要第一次吊销证书时执行此操作；
echo "SERIAL" > /etc/pki/CA/crl/crlnumber
4.更新证书吊销列表：openssl ca -genctl -out /etc/pki/CA/crl/ca.crl 不同版本路径会有所差别！！
5.查看CRL：openssl crl -in /etc/pki/CA/crl/ca.crl -noout -text

实现加密/解密的应用程序：gpg，可以使用gpg实现对称加密；
gpg2 [--homedir dir] [--options file] [options] command [args]

常用选项：
-c：实施对称加密
-o file ，--output file：将解密结果保存于指定文件当中；
--gen-key：生成密钥对，即：公钥+私钥
--list-keys：查看公钥
--export：导出钥匙环上所有的公钥，也可以导出指定名称的公钥；默认直接将公钥输出到标准输出；需要配合使用-o选项，才能将其保存到文件中；
--import：导入到指定的公钥钥匙环；
-r：复制加密文件
-e：加密数据
--delete-key name
--delete-secret-key name
--delete-secret-and-public-key name
删除公钥和/或私钥，删除密钥的时候，先删私钥，再删公钥；

gpg应用示例：加密文件：~]# gpg -c fstab解密文件：~]# gpg -o fstab.out -d fstab.gpg注意选项和参数的顺序；生成密钥对：~]# gpg --gen-key查看公钥：~]# gpg --list-key导出公钥：~]# gpg -a --export -o /tmp/qhdlink.pub在其他主机导入公钥，以进行公钥加密：~]# gpg --import /PATH/TO/qhdlink.pub在其他主机上使用导入的公钥加密文件：~]# gpg -e -r qhdlink.pub /PATH/TO/SOME_FILE