MISTECH 技術手抄本

這一篇文章 GnuPG (GPG) In Win32 免費檔案加解密軟體概念與實作 大致說明了 GnuPG 對於產生一組私鑰 ( Private Key:secring.GPG )& 公鑰( Public Key:pubring.GPG )，與匯出公鑰 polinwei.asc 及匯入客戶公鑰 partnerid.asc 的完整過程。接下來，我們找個檔案，實際來測試看看。會用到的指令有：

加密：C:\gnupg\gpg --encrypt --armor --recipient [public key] --output encryptedfilename unencryptedfilename

解密：C:\gnupg\gpg --always-trust --passphrase-fd 0 --output C:\gnupg\Decrypt\unencryptedfilename  -u "[USER-ID]" --no-tty --decrypt C:\gnupg\Encrypt\encryptedfilename < [passphrase.file]

客戶要給我們的檔案 test.txt

實作：還記得我們匯出公鑰時的資訊吧(如下)

而我們給客戶的檔案polinwei.asc就有這些資訊，讓客戶先以此金鑰作加密( Sign )，再寄給我們作解密即可。

客戶端：

C:\gnupg\gpg --encrypt --armor --recipient 9E6074F7 --output test.encryp.txt test.txt

此時會針對 9E6074F7 的公鑰，產生一個加密檔案 test.encryp.txt，內容會像下面這樣，再將這個檔案 test.encryp.txt 傳給我們即可。

本機端：

C:\gnupg\gpg.exe --always-trust --passphrase-fd 0 --output C:\gnupg\Decrypt\test.txt  -u "polin.wei" --no-tty --decrypt C:\gnupg\Encrypt\test.encryp.txt < passphrase.file

這裡有兩個參數要說明一下：

--passphrase-fd 0 ： 是將 secret key (Private key) 的 Passphrase 以檔案 passphrase.file 方式傳入，這樣就不用每次都提示要你輸入了。-u "polin.wei"        ： 則是 [USER-ID]，這應該是唯一的值。
passphrase.file     ： 檔案裡的內容，沒忘了吧，我們在GnuPG (GPG) In Win32 免費檔案加解密軟體概念與實作 輸入的是 polin 。

執行完指令後，就可以將加密檔 test.encryp.txt ，還原成 test.txt 正常的檔案了。 您也試試吧!!

　　當商業檔案如 EDI (850,860,810...) 在 FTP 協定中傳輸時，若被別人截取，那資料就會外洩。若能在傳輸前先加密，到客戶端時再作解密，這就保險多了。檔案加解密的軟體很，GnuPG (GPG) 是一套完全免費的軟體( GnuPG is the GNU project's complete and free implementation of the OpenPGP standard as defined by RFC4880 . )，也有在實務的商務中使用，安全性很高值得一用。

GnuPG 概念：

GPG, like PGP (Pretty Good Privacy), uses a key pair. This means that when you generate a key, you will create a public copy as well as private copy. The private copy is your copy used to decrypt an incoming file as well sign an outgoing file (but for our purposes, we are only using it to decrypt). The public key is the key you give to the public, which is used to encrypt the files coming to you. First we will create your own key.
 
These keys are stored in key rings. For GPG, they are stored in the directory that the GPG files were copied into. They are both named with a .GPG extension, and are called pubring.GPG and secring.GPG (to denote the public key ring and the private key ring, respectively).

原文的意思主要是說：GPG 會產生一組 Key ，一個是私鑰 ( Private Key:secring.GPG ) 用來解碼檔案，以及傳出檔案時作簽章 ( sign )；一個是公鑰( Public Key:pubring.GPG )是要給客戶的，當客戶要傳檔案給你時，用此公鑰作加密。兩個檔案都是以 .GPG 作為附檔名。

GnuPG 實作：

　　那要如何建立這一組Key：私鑰 ( Private Key:secring.GPG )& 公鑰( Public Key:pubring.GPG )，下面一個步驟一個步聚來作解說：

step 01: 環境設定

先到 GnuPG 的下載網站： 下載軟體 gnupg-w32cli-1.2.0.zip. (ftp://ftp.gnupg.org/GnuPG/binary/gnupg-w32cli-1.2.0.zip)，這裡使用gnupg-w32cli-1.2.0 版。在 Windows 平台，可以用 7Z 解壓，並將解開的目錄放在 C:\gnupg

再到 開始(Start) > 控制(Control Panel) > 系統(System). 選擇 進階(Advanced tab) 並編輯環境變數中的 Path 參數。

step 02: 產生私鑰 ( Private Key:secring.GPG )& 公鑰( Public Key:pubring.GPG )

PS: 若要修改secret key的 Passphrase , 指令如下:

step 03: 匯出要給客戶的公鑰

step 04: 匯入客戶的金鑰( partnerid.asc 此為範例檔)，並信認( Trust )

step 05: 檢查客戶的公鑰是否正確存在

以上的步驟就是產生一組私鑰 ( Private Key:secring.GPG )& 公鑰( Public Key:pubring.GPG )，與匯出公鑰 polinwei.asc 及匯入客戶公鑰 partnerid.asc 的完整過程。

從這幾篇文章：Certificate Authority(CA) 憑證簡介、AppServ + OpenSSL Setup SSL(https) in Win32 憑證建立、Generating Private Key with OpenSSL 建立主機私有憑證 我們大致可以瞭解憑證的概念與建立的過程，，我們可謂已經擁有了自己一 把私鑰 private key（server-privatekey.pem）以及一份由Sinica CA所簽發出來的公鑰 certificate（server-publickey.cer）。以下接著將介紹使用private key與 certificate的基本應用，包括：文件加密（Encrypt）與解密 （Decrypt）、文件簽章（Sign Signature）與驗證簽章（Verify Signature）等應用。

 現在就來作一個簡單的測試，模擬在網路實務上的運用過程。測試旳步驟如下：

1. 自行建立CA (ca.key、ca.crt)
2. 建立 Private Key
3. 建立 Certificate Request(憑證要求)
4. 將 Certificate Request 送交 CA 來簽證此憑證
5. 建立一個測試檔案：certkey-test.txt 內容為 "this is 測試"，並由對方經我方傳給他的公鑰 certificate（server-publickey.cer）作加密，存成加密檔：certkey-test.msg。
6. 作解密測試。

相對應的指令如下：

step 1:
genrsa -out ca.key 1024
req -new -x509 -days 3650 -key ca.key -out ca.crt -config ../conf/openssl.cnf

step 2:
genrsa -out server-privatekey.pem 1024
rsa -in server-privatekey.pem -inform pem -out server-privatekey.der -outform der

step 3:
req -new  -inform pem -in server-privatekey.pem -out server-publickey.csr -key server-privatekey.pem -config ../conf/openssl.cnf

step 4:
ca -in server-publickey.csr -out server-publickey.cer -cert ca.crt -keyfile ca.key -config ../conf/openssl.cnf

setp 5:
smime -encrypt -in certkey-test.txt -out certkey-test.msg server-publickey.cer

加密後的檔案內容會像下面這樣

step 6:
smime -decrypt -in certkey-test.msg -recip server-publickey.cer -inkey server-privatekey.pem
或者
smime -decrypt -in certkey-test.msg -recip server-publickey.cer -inkey server-privatekey.der -keyform der

這一篇文章主要是利用 OpenSSL 來建立主機私有憑證(Private Key)，OpenSSL 的工具可以參考 AppServ + OpenSSL Setup SSL(https) in Win32 憑證建立 來快速取得，接下來的指令 "openssl genrsa" 將會產生四種不同類型的私有憑證(Private Key)：

1. PEM 編碼, 沒有加密 (PEM encoding, no encryption)
2. DER 編碼, 沒有加密 (DER encoding, no encryption)
3. PEM 編碼, 以 DES 演算法作加密 (PEM encoding, DES encryption)
4. DER 編碼, 以 DES 演算法作加密 (DER encoding, DES encryption)

實作如下：

這時將會產生4個檔案：server-privatekey.der、server-privatekey.pem、server-privatekey_des.der、server-privatekey_des.pem

相關參考網站：

OpenSSL rsa

Certificate Authority(CA) 憑證簡介 瞭解 CA 憑證的概念後，現在就先拿 Apache Httpd Server 來作網站的測試。免錢的 OpenSSL 就是一個好的工具，而 AppServ 套件本身即有 Apache、MySQL、PHP、phpMyAdmin 與 OpenSSL 工具，是最方便的軟體了。

一、準備檔案：
下載 AppServ 2.5.10


二、安裝 Apache Server 與設定：

1. 先行安裝AppServ，預設路徑應該安裝在 C:/AppServ/Apache2.2/，並先停止Apache伺服器。
2. 開啟C:\AppServ\Apache2.2\conf 內的 httpd.conf 作修改

把 LoadModule ssl_module modules/mod_ssl.so 的#註解拿掉
把 Include conf/extra/httpd-ssl.conf 的#註解拿掉

三、在 C:\AppServ\Apache2.2\bin資料夾底下看見openssl.exe，滑鼠double click執行它，用它來作憑證

1. 輸入 genrsa -out server.key 1024 產生rsa私鑰(Server Private Key：server.key)

 

2. 利用私鑰(Server Private Key：server.key)來產生簽署申請：輸入 req -new -out server.csr -key server.key -config ../conf/openssl.cnf 產生簽署申請

Country Name為國籍鍵入TW
State or Province Name為省份鍵入Taiwan
Locality Name為所在地
Organization Name為組織名稱
Organizational Unit Name為組織內單位
Common Name為domain name
Email Address為管理者的電子信箱
剩餘兩項可不填入

Step 3 & 4 是模擬 CA 第三方認證單位
3. 輸入 genrsa -out ca.key 1024 產生CA的rsa私鑰

4. 輸入 req -new -x509 -days 365 -key ca.key -out ca.crt -config ../conf/openssl.cnf 利用ca私鑰產生待會幫自己主機的簽署憑證，參數同step2上面設定

 

5. 接著於C:\AppServ\Apache2.2\bin資料夾內新建demoCA資料夾，並於demoCA資料夾內新增newcerts資料夾，與 index.txt跟serial檔案，並利用記事本開啟serial後鍵入01後存檔（這裡的值是參考C:\AppServ\Apache2.2 \conf\openssl.cnf 檔案裡 [ CA_default ] 這區段中的設定）

6. 利用step 3 &4 中模擬CA替網站簽署認證的檔案，私鑰：ca.key & 簽署憑證 ca.crt 兩個檔案來替自己的網站提出的簽署憑證申請檔： server.csr 作簽署憑證，產生憑證：server.crt
輸入ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -config ../conf/openssl.cnf

詢問是否簽署都回答 Y

 

7. 將C:\AppServ\Apache2.2\bin底下的私鑰 server.key 及CA簽署過的公鑰 server.crt 兩個檔案複製至C:\AppServ\Apache2.2\conf資料夾底下

8.打開 C:\Appserv\Apache2.2\conf\extra\http-ssl.conf檔案，修改部份如下：

#   General setup for the virtual host
DocumentRoot "C:/AppServ/www"
ServerName www.xxx.com:443
ServerAdmin xxx.xxx@gmail.com
ErrorLog "C:/AppServ/Apache2.2/logs/error.log"
TransferLog "C:/AppServ/Apache2.2/logs/access.log"

#   Server Certificate:
SSLCertificateFile "C:/AppServ/Apache2.2/conf/server.crt"
#   Server Private Key:
SSLCertificateKeyFile "C:/AppServ/Apache2.2/conf/server.key"

CustomLog "C:/AppServ/Apache2.2/logs/ssl_request.log" \
          "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"

再重啟 Apache Server 即可登入 https://localhost


Troubleshooting：

1. 若有 php_mbstring.dll 檔案遺失的警告，則開啟 C:\Windows\php.ini 將 extension=php_exif.dll 放置於 extension=php_mbstring.dll 之後即可解決

2. 在實做的過程中若電腦的 port:443 被佔用著，利用netstat -ano指 令可以看到是哪個pid去佔著這個port，再利用 process explorer（在Win 7&8 可以執行 Task manager -> Performance -> Resource Monitor）來觀看是哪個程式佔用著，再到服務 Services 關掉即可

參考：

AppServ + OpenSSL Setup in Win32

【php】利用openssl實作ssl網頁加密

HOWTO certificates

何謂 CA ?

在網路蓬勃發展的時代，安全議題越來越受到重視，因此也有許多人提出如何將傳輸在網路上的資料進行加密傳送以增加安全性；然而有了憑證(certificate)的發明，除了用來將傳輸資料加密外，還可用來驗證資料傳送者與接收者的身份。

而若要瞭解 certificate，則首先必須知道何謂 CA(Certificate Authority)!

以下有兩段解釋：

certificate authority or certification authority (CA) is an entity which issues digital certificates for use by other parties. It is an example of a trusted third party. CAs are characteristic of many public key infrastructure (PKI) schemes.

憑證管理中心 (Certification Authority，CA)為具公信力第三者(Trusted ThirdParty) ，對個人及機關團體提供認證及憑證簽發管理等服務，以建立具有機密性、鑑別、完整性、不可否認性、接取控制及可用性而的資訊通信安全環境與機制。在建置營 運憑證管理中心時，須依憑證管理中心之營運政策及策略，制訂憑證政策與憑證實作準則，規範其運作規定與作法，一方面讓用戶瞭解在使用上的作業規定，另一方 面則藉此表明其在安全及公證性上的信賴度。

CA建置流程說明

從CA建置到憑證的簽署，這屬於使用者端的運用，步驟如下：

1. 自行建立CA(假設沒有花錢使用公用CA的情況下)
2. 建立 Private Key
3. 建立 Certificate Request(憑證要求)
4. 將 Certificate Request 送交 CA 來簽證此憑證

而在 CA server 的部分，這屬於第三方公證單位的運用，要介紹的重點在於：

1. 建置 CA server
2. 簽發憑證、報廢憑證
3. 設定 CA 簽證的 policy

CA server 種類

首先有些觀念必須說明，即是 CA server 的種類有兩種：

• Self-Signed CA
  亦可稱為 root CA。由於此種 CA 所發的憑證(certificate)是不經由任何上層 CA 所認證，而是以「自行認證」的方式進行認證。因此像是最上層的商業 CA，或是自行架設內部認證用的 CA，都可以屬於此類。
• Signed CA
  不 同於 Self-Signed CA，此種 CA 所發佈的憑證，可被上層的 CA 進行認證，而兩種 CA 的關係則是「Parent CA <==> Child CA」。 而通常設定上層 CA 時，除非是內部使用，不然使用商業 CA 是必須付費的!