Comment générer une clé openSSL en utilisant une phrase de passe à partir de la ligne de commande?

Premièrement, que se passe-t-il si je ne donne pas de phrase secrète? Est-ce qu'une sorte de phrase pseudo aléatoire est utilisée? Je cherche juste quelque chose de "suffisamment bon" pour éloigner les pirates occasionnels.

Deuxièmement - comment générer une paire de clés à partir de la ligne de commande, en fournissant la phrase de passe sur la ligne de commande?

Je l'ai finalement fait fonctionner en utilisant ces commandes, en utilisant exec () qu'il est généralement considéré comme non sûr à utiliser, étant préférable de donner la PassPhrase dans un fichier. Je peux accepter ce risque car je suis sûr que PHP ne sera jamais exécuté que sur mon PC (qui exécute Windows et n'a pas de commande PS).

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 2048
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

Un grand merci à @caf, sans qui cela n'aurait pas été possible.

Un seul regret - que, peu importe à quel point je Google, personne ne semble pouvoir openssl_pkey_new()travailler avec Xampp sous Windows (ce qui est la bonne façon de générer une paire de clés)

Si vous n'utilisez pas de phrase de passe, la clé privée n'est chiffrée avec aucun chiffrement symétrique - elle est sortie complètement sans protection.

Vous pouvez générer une paire de clés, en fournissant le mot de passe sur la ligne de commande en utilisant un appel comme (dans ce cas, le mot de passe est foobar):

openssl genrsa -aes128 -passout pass:foobar 3072

Cependant, notez que cette phrase de passe peut être saisie par tout autre processus exécuté sur la machine à ce moment-là, car les arguments de ligne de commande sont généralement visibles par tous les processus.

Une meilleure alternative consiste à écrire la phrase secrète dans un fichier temporaire protégé par des autorisations de fichier et à spécifier que:

openssl genrsa -aes128 -passout file:passphrase.txt 3072

Ou fournissez la phrase de passe sur l'entrée standard:

openssl genrsa -aes128 -passout stdin 3072

Vous pouvez également utiliser un tube nommé avec l' file:option ou un descripteur de fichier.

Pour ensuite obtenir la clé publique correspondante, vous devez utiliser openssl rsa, en fournissant la même phrase de passe avec le -passinparamètre que celle utilisée pour chiffrer la clé privée:

openssl rsa -passin file:passphrase.txt -pubout

(Cela attend la clé privée chiffrée sur l'entrée standard - vous pouvez à la place la lire à partir d'un fichier en utilisant -in <file>).

Exemple de création d'une paire de clés privée et publique de 3072 bits dans des fichiers, avec la paire de clés privées chiffrée avec un mot de passe foobar:

openssl genrsa -aes128 -passout pass:foobar -out privkey.pem 3072
openssl rsa -in privkey.pem -passin pass:foobar -pubout -out privkey.pub

genrsaa été remplacé pargenpkey & lorsqu'il est exécuté manuellement dans un terminal, il vous demandera un mot de passe:

openssl genpkey -aes-256-cbc -algorithm RSA -out /etc/ssl/private/key.pem -pkeyopt rsa_keygen_bits:4096

Cependant, lorsqu'elle est exécutée à partir d'un script, la commande ne demandera pas de mot de passe, donc pour éviter que le mot de passe ne soit visible en tant que processus, utilisez une fonction dans un shellscript:

get_passwd() {
    local passwd=
    echo -ne "Enter passwd for private key: ? "; read -s passwd
    openssl genpkey -aes-256-cbc -pass pass:$passwd -algorithm RSA -out $PRIV_KEY -pkeyopt rsa_keygen_bits:$PRIV_KEYSIZE
}