Windows 用户必看：OpenSSL 安装使用全攻略

摘要

OpenSSL 是一个强大的开源密码学工具包，广泛应用于网络通信安全、数据加密、数字证书管理等领域。对于 Windows 用户而言，正确安装和配置 OpenSSL 至关重要，无论是开发人员进行安全协议测试，还是普通用户保护个人隐私，都离不开 OpenSSL 的支持。本文旨在提供一份详尽的 Windows 平台 OpenSSL 安装使用指南，内容涵盖不同版本 OpenSSL 的获取、安装配置、基本命令使用、常见应用场景以及潜在问题的排查，力求使读者全面掌握在 Windows 环境下使用 OpenSSL 的各项技能。

1. OpenSSL 简介与应用背景

OpenSSL 项目起源于 SSLeay，由 Eric A. Young 和 Tim J. Hudson 两位开发者在 1995 年启动。随着互联网安全需求的不断增长，OpenSSL 逐渐发展成为一个功能完备、社区活跃的开源项目，被广泛应用于各种需要安全通信和数据保护的场景。

OpenSSL 核心组件包括：

• libcrypto：提供各种密码学算法的实现，如对称加密算法（AES、DES、3DES）、非对称加密算法（RSA、ECC）、哈希算法（SHA1、SHA256、SHA512）、消息认证码（HMAC）等。
• libssl：基于 libcrypto 构建，实现了 SSL/TLS 协议，为网络通信提供安全保障。
• openssl 命令行工具：提供了一系列用于执行各种密码学操作的命令，如生成密钥、创建证书请求、验证证书、加密解密数据、测试 SSL/TLS 连接等。

OpenSSL 的应用领域极其广泛，主要包括：

• Web 服务器安全：HTTPS 网站普遍使用 OpenSSL 来实现 SSL/TLS 加密，保护用户与服务器之间的通信安全。
• VPN 隧道：OpenVPN 等 VPN 软件利用 OpenSSL 建立安全的虚拟专用网络，加密网络流量，保护用户隐私。
• 电子邮件安全：SMIME 标准使用 OpenSSL 对电子邮件进行数字签名和加密，确保邮件内容的完整性和机密性。
• 代码签名：开发人员可以使用 OpenSSL 对软件代码进行数字签名，防止代码被篡改，提高软件安全性。
• 安全协议测试：开发人员可以使用 OpenSSL 测试和调试 SSL/TLS 协议的实现，确保安全协议的正确性和可靠性。

2. Windows 平台 OpenSSL 获取与安装

在 Windows 平台上，OpenSSL 通常不作为系统自带组件预装。用户需要自行下载并安装合适的 OpenSSL 版本。

2.1 OpenSSL 版本选择

OpenSSL 有多个版本分支，主要分为长期支持版（LTS）和普通版本。LTS 版本提供更长时间的安全更新和维护，适合对稳定性要求较高的生产环境。普通版本更新频率较高，包含最新的功能和修复，适合开发者和尝鲜用户。

选择哪个版本取决于具体需求。如果更看重稳定性，LTS 版本是首选。如果需要最新功能或修复，可以选择最新的普通版本。一定要注意, 选用LTS分支更可靠.

2.2 OpenSSL 获取途径

获取 OpenSSL 的途径主要有两种：

1. 官方编译版本：

   OpenSSL 官方网站（https://www.openssl.org/）提供了源代码，但没有直接提供 Windows 平台的预编译二进制文件。用户可以下载源代码自行编译，但这需要一定的技术基础和编译环境配置。
   2. 第三方编译版本：

   许多第三方组织或个人提供了 Windows 平台的 OpenSSL 预编译版本，方便用户直接下载安装。常用的第三方编译版本包括：

   • Shining Light Productions：提供 Win32/Win64 OpenSSL 安装包，安装过程简单，包含常用工具和库文件。
   • Chocolatey：Windows 平台的包管理器，可以通过命令行快速安装 OpenSSL。
   • Scoop: 另一个Windows平台的包管理器，类似Chocolatey
   • Cygwin/MSYS2：提供类 Unix 环境，可以在其中使用包管理器安装 OpenSSL。

2.3 安装流程（以 Shining Light Productions 版本为例）

1. 下载安装包：访问 Shining Light Productions 网站（https://slproweb.com/products/Win32OpenSSL.html），选择合适的版本（Win32 或 Win64）和安装类型（Light 或 Full）下载安装包。Light 版本只包含运行时库，Full 版本包含开发所需的头文件和库文件。
2. 运行安装程序：双击下载的安装包，按照提示进行安装。
3. 选择安装目录：建议选择一个不包含空格的路径，例如 C:\OpenSSL。

4. 配置环境变量：安装完成后，需要将 OpenSSL 的 bin 目录添加到系统环境变量 PATH 中，以便在命令行中直接使用 openssl 命令。
   添加系统变量OPENSSL_CONF，值为安装路径\bin\openssl.cfg

   • 右键点击“此电脑”（或“我的电脑”），选择“属性”。
   • 点击“高级系统设置”。
   • 在“系统属性”窗口中，点击“环境变量”。
   • 在“系统变量”区域，找到 Path 变量，双击编辑。
   • 在“编辑环境变量”窗口中，点击“新建”，添加 OpenSSL 的 bin 目录路径（例如 C:\OpenSSL\bin）。
   • 点击“确定”保存所有更改。

5. 验证安装：打开命令提示符（或 PowerShell），输入 openssl version 命令，如果显示 OpenSSL 版本信息，则表示安装成功。

3. OpenSSL 命令行工具基本使用

OpenSSL 命令行工具提供了丰富的命令和选项，用于执行各种密码学操作。以下介绍一些常用的命令和用法。

3.1 生成 RSA 私钥

bash
openssl genrsa -out private.key 2048

• genrsa：生成 RSA 私钥的命令。
• -out private.key：指定输出私钥文件名为 private.key。
• 2048：指定密钥长度为 2048 位，通常建议使用 2048 位或更长的密钥长度。

3.2 从私钥中提取公钥

bash
openssl rsa -in private.key -pubout -out public.key

• rsa：处理 RSA 密钥的命令。
• -in private.key：指定输入私钥文件。
• -pubout：指定输出公钥。
• -out public.key：指定输出公钥文件名为 public.key。

3.3 生成自签名证书

bash
openssl req -new -x509 -key private.key -out certificate.crt -days 365

• req：生成证书请求或自签名证书的命令。
• -new：生成新的证书请求。
• -x509：生成自签名证书，而不是证书请求。
• -key private.key：指定用于签名的私钥文件。
• -out certificate.crt：指定输出证书文件名为 certificate.crt。
• -days 365：指定证书有效期为 365 天。

在执行该命令时，会提示输入一些证书信息，如国家、地区、组织、通用名称（Common Name）等。通用名称通常填写域名或服务器主机名。

3.4 查看证书信息

bash
openssl x509 -in certificate.crt -text -noout

• x509：处理 X.509 证书的命令。
• -in certificate.crt：指定输入证书文件。
• -text：以文本形式显示证书信息。
• -noout：不输出证书本身。

3.5 加密和解密文件

```bash

使用 AES-256-CBC 算法加密文件

openssl enc -aes-256-cbc -in plaintext.txt -out encrypted.bin -pass pass:mypassword

使用 AES-256-CBC 算法解密文件

openssl enc -d -aes-256-cbc -in encrypted.bin -out decrypted.txt -pass pass:mypassword
```

• enc：执行对称加密和解密的命令。
• -aes-256-cbc：指定使用 AES-256-CBC 算法。
• -d参数, 声明接下来的操作是解密.
• -in：指定输入文件。
• -out：指定输出文件。
• -pass pass:mypassword：指定密码为 mypassword。

3.6 计算文件哈希值

```bash

计算 SHA256 哈希值

openssl dgst -sha256 plaintext.txt

计算 MD5 哈希值

openssl dgst -md5 plaintext.txt
```

• dgst：计算消息摘要的命令。
• -sha256：指定使用 SHA256 算法。
• -md5：指定使用 MD5 算法。
  也可以指定其他哈希算法.

3.7 比较不同版本之间的功能

OpenSSL 的不同版本在功能和支持的算法上可能存在差异。以OpenSSL 1.1.1 和 OpenSSL 3.0.* 比较, 可以概括为:

1. API 变化

   • OpenSSL 3.0 引入了新的 Provider 架构，将密码学算法的实现与 API 分离，允许用户选择不同的 Provider 来提供算法支持。
   • 一些旧的 API 在 OpenSSL 3.0 中被标记为废弃或移除，需要使用新的 API 替代。

2. 算法支持

   • OpenSSL 3.0 增强了对新算法的支持，如 ChaCha20、Poly1305、SM3、SM4 等。
   • 一些旧的或不安全的算法在 OpenSSL 3.0 中可能被默认禁用或移除。

3. 性能优化

   • OpenSSL 3.0 在性能方面进行了一些优化，如改进了 TLS 1.3 的性能。

4. 安全性增强

   • OpenSSL 3.0 修复了一些已知的安全漏洞，并增强了安全性。

5. FIPS 支持

   • OpenSSL 3.0 设计了新的 FIPS 模块，以符合 FIPS 140-2 标准的要求。

4. OpenSSL 常见应用场景

除了上述基本命令的使用，OpenSSL 还广泛应用于各种实际场景。

4.1 生成用于 HTTPS 网站的证书

1. 生成私钥：openssl genrsa -out example.com.key 2048

2. 生成证书请求 (CSR)：openssl req -new -key example.com.key -out example.com.csr

   在生成 CSR 时，需要填写一些证书信息，其中 Common Name 必须填写网站域名。
   3. 向证书颁发机构 (CA) 提交 CSR：将生成的 CSR 文件提交给受信任的 CA（如 Let's Encrypt、DigiCert 等）进行签名。
   4. 获取签名后的证书：CA 会对 CSR 进行验证，并签发证书。
   5. 在 Web 服务器中配置证书：将私钥和签名后的证书配置到 Web 服务器（如 Apache、Nginx）中，启用 HTTPS。

4.2 使用 OpenSSL 测试 SSL/TLS 连接

bash
openssl s_client -connect example.com:443

• s_client：模拟 SSL/TLS 客户端的命令。
• -connect example.com:443：指定要连接的服务器地址和端口号。

该命令可以用于测试网站的 SSL/TLS 配置是否正确，查看证书信息、加密套件、协议版本等。

4.3 生成用于代码签名的证书

1. 生成私钥：openssl genrsa -out code_signing.key 2048
2. 生成证书请求 (CSR)：openssl req -new -key code_signing.key -out code_signing.csr
3. 向证书颁发机构 (CA) 提交 CSR：选择支持代码签名的 CA。
4. 获取签名后的证书：CA 会签发代码签名证书。
5. 使用证书对代码进行签名：可以使用 Windows SDK 中的 signtool 工具或 OpenSSL 命令行工具对代码进行签名。

5. 常见问题排查

在使用 OpenSSL 过程中，可能会遇到一些问题。以下是一些常见问题及其排查方法。

5.1 "openssl 不是内部或外部命令，也不是可运行的程序或批处理文件。"

• 原因：未将 OpenSSL 的 bin 目录添加到系统环境变量 PATH 中。
• 解决方法：按照 2.3 节中的步骤，将 OpenSSL 的 bin 目录添加到 PATH 环境变量中。

5.2 "WARNING: can't open config file: /usr/local/ssl/openssl.cnf"

• 原因：OpenSSL 找不到配置文件 openssl.cnf。
• 解决方法：
  • 确保安装了包含配置文件的 OpenSSL 版本。
  • 设置 OPENSSL_CONF 环境变量，指向 openssl.cnf 文件的路径。

5.3 SSL/TLS 连接失败

• 原因：证书问题、协议版本不兼容、加密套件不匹配等。
• 解决方法：
  • 使用 openssl s_client 命令连接服务器，查看详细的错误信息。
  • 检查证书是否有效、是否过期、是否与服务器域名匹配。
  • 检查服务器和客户端是否支持相同的 SSL/TLS 协议版本和加密套件。

5.4 密码错误

• 原因：在使用加密、解密或签名等操作时，提供的密码不正确。
• 解决方法：
  • 仔细检查输入的密码是否正确。
  • 如果忘记密码，无法恢复，只能重新生成密钥或证书。

6. OpenSSL进阶使用
随着对 OpenSSL 的熟悉程度加深，可以探索更多高级用法：

• 自定义配置文件：openssl.cnf 文件包含了 OpenSSL 的各种配置选项，可以根据需要进行修改。
• 编写 OpenSSL 程序：可以使用 OpenSSL 提供的 API 编写自己的 C/C++ 程序，实现更复杂的密码学功能。
• 使用引擎：OpenSSL 支持引擎（Engine）机制，可以将密码学操作委托给硬件加速器或其他软件模块。

7. 版本迭代和安全性

OpenSSL 作为开源项目, 会不断更新. 及时了解 OpenSSL 的最新版本和安全公告，并及时更新到最新版本，可以获得最新的功能和安全修复。
一些需要关注的渠道有:
* OpenSSL官方网站
* 安全社区和邮件列表

结束语

OpenSSL 是一个功能强大的密码学工具包，在 Windows 平台上也有广泛的应用。通过掌握 OpenSSL 的安装、配置和基本命令使用，可以有效提高网络通信安全性和数据保护能力。建议用户结合实际需求，深入学习 OpenSSL 的各项功能，并将其应用到日常开发和工作中。