openssl コマンドについて解説します。
openssl コマンドを利用すると以下のように様々な処理ができます。
鍵の作成 証明書の作成 証明書の確認 コマンドラインからのメール送信
【SSL/TLS】SSL 証明書のプラットフォーム別の様々な導入方法
【レンタルサーバー初心者向け】 SSL技術を分かりやすく解説してみました
OpenSSL とは
OpenSSL は TLS（Transport Layer Security）および SSL（Secure Sockets Layer）プロトコル用のツールキットで暗号化ライブラリです。
OpenSSL 公式サイト
OpenSSL 公式サイト
https://www.openssl.org/
なぜ rpm コマンドの OpenSSL のバージョンと openssl コマンドのバージョンが異なるのか？
以下のように rpm コマンドでの確認と openssl コマンドでのバージョンが異なります。
rpm ← 1.1.1-8 yum ← 1.1.1 リリース8 openssl コマンド ← 1.1.1 FIPS 11
■OpenSSL のバージョン確認
[root@RedHat8SV ~]# rpm -qa | grep openssl ← すでにインストールされているか確認します。 openssl-1.1.1-8.el8.x86_64
■OpenSSL のバージョン確認
[root@RedHat8SV ~]# yum info openssl
■OpenSSL のバージョン確認
[root@RedHat8SV ~]# openssl version OpenSSL 1.1.1 FIPS 11 Sep 2018
理由は、rpm コマンドや yum コマンドが返すパッケージのバージョンは、ソフトウェアが返す（openssl コマンドが返す）バージョンと同じとは限らないからです。
また、FIPS の数字はバージョンとは関係ありません。
FIPS ← Federal Information Processing Standard の略
つまり、「openssl コマンドは FIPS のセキュリティ要件を満たして認証を受けた」
最近の openssl コマンドのバグ修正や変更などを確認する場合
changelog オプションでバグ修正や変更点を確認することができます。
[root@RedHat8SV ~]# rpm -q -changelog openssl
秘密鍵作成と公開鍵作成
RSA の秘密鍵を「test.com_key.private」
※秘密鍵のファイルにはパスフレーズは付きません。
[ec2-user@redhat7 ~]$ openssl genrsa -out test.com_key.private 2048
秘密鍵の内容です。
[ec2-user@redhat7 ~]$ cat test.com_key.private
■ビット数を少なくした場合
※openssl の使用でビット数が少なすぎると以下のようにエラーになります。
[root@ip-172-31-32-20 ~]# openssl genrsa -out test.com.private_key 256 size too small
■1024bits の場合
[root@ip-172-31-32-20 ~]# openssl genrsa -out test.com.private_key 1024
■秘密鍵の中身確認
cat コマンドでも秘密鍵の内容を確認できますが、openssl コマンドでも -text オプションを付けて内容を確認できます。
[root@ip-172-31-32-20 ~]# openssl rsa -text < test.com.private_key
更に、この秘密鍵「test.com_key.private」
openssl rsa -in ← 秘密鍵を読み込みます。 -pubout ← 公開鍵を作成します。 PEM ← PEM 形式の公開鍵を作成します。
[ec2-user@redhat7 ~]$ openssl rsa -in test.com_key.private -out test.com_key.public -pubout -outform PEM
公開鍵「test.com_key.public」
[ec2-user@redhat7 ~]$ cat test.com_key.public
ファイル形式について
SSL 証明書には、以下の数多くのファイル形式（ファイルフォーマット、拡張子）があります。
Windows や UNIX/Linux で利用するファイル形式が異なります。
そのため、Windows から Linux へ証明書を移動したり、Linux から Windows へファイルを移動する際にフォーマットの変換が必要になります。
pem（Privacy Enhanced Mail）とは
.pem ファイルは、Linux 系で利用されるファイル形式です。
.pem という拡張子から鍵ファイルなのか SSL 証明書なのかは分かりません。
バイナリファイルを Base64 でエンコード（テキスト化）しています。
Base64 コマンドでエンコード＆デコードする
■単純に秘密鍵をcatコマンドで開く
[root@ip-172-31-32-20 ~]# cat test.private.key
■ファイルの中身を確認する（秘密鍵がエンコードされた状態）
[root@ip-172-31-32-20 ~]# base64 test.private.key
■秘密鍵をエンコードしたものを再度デコード（人間が分かる状態）する
[root@ip-172-31-32-20 ~]# base64 test.private.key | base64 -d
自己署名証明書（オレオレ証明書）の作成
openssl コマンドで /etc/vsftpd ディレクトリに一気に自己署名証明書（オレオレ証明書）を作成
[root@redhat7 ~]# openssl req -x509 -nodes -newkey rsa:1024 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem
■オプションの解説
req ← CSR ファイルを作成します。 -x509 ← x509 という規格で証明書を発行します。x509 とは公開鍵基盤（PKI）の規格です。 -nodes ← nodes は「NO DES」で秘密鍵を暗号化しないオプションになります。通常、セキュリティを考慮すれば DES や DES3 や AES などで秘密鍵を暗号化します。（Apache 等の場合は、Apache を再起動するたびにパスフレーズを聞かれるので -nodes でパスフレーズをなしにします） -newkey rsa:1024 ← 秘密鍵の作成を行います。暗号方式は RSA で鍵長は 1024 bit です。 -keyout /etc/vsftpd/vsftpd.pem ← 秘密鍵の出力先とファイル名を指定します。 -out /etc/vsftpd/vsftpd.pem ← 自己署名証明書（オレオレ証明書）の出力先とファイル名を指定します。
以下のようにファイルが作成されます。
[root@redhat7 vsftpd]# ls -l -rw-r–r–. 1 root root 1954 Mar 16 02:07 vsftpd.pem
■vsftpd.pem ファイルの中身
vsftpd.pem ファイルの中身は以下のように「秘密鍵」 「サーバ証明書」
[root@redhat7 vsftpd]# cat vsftpd.pem
コマンドラインから Gmail の SMTP サーバー（smtp.gmail.com）を経由してメールを送信する場合
telnet コマンド openssl コマンド
※実際にメールを送信する動作確認手順の場合は、openssl コマンドを使用する必要があります。
openssl s_client コマンドで確認する方法 openssl コマンド
■TCP/465番ポートへの接続の場合
[ec2-user@redhat7 ~]$ openssl s_client -connect smtp.gmail.com:465 CONNECTED(00000003) ← CONNECTED(00000003) になっていることを確認します。
～ 省略 ～
e+CkrkjZUyUmzdNa6qk=
※CONNECTED(00000003) になっていることを確認します。
■TCP/587番ポートへの接続の場合
[ec2-user@redhat7 ~]$ openssl s_client -connect smtp.gmail.com:587 CONNECTED(00000003) ← CONNECTED(00000003) になっていることを確認します。
※CONNECTED(00000003) になっていることを確認します。
telnet で Gmail の smtp サーバー（smtp.gmail.com）の TCP/587 にアクセスする場合
telnet コマンドは「STARTTLS」 「FConnection closed by foreign host. 」
[ec2-user@redhat7 ~]$ telnet smtp.gmail.com 587 ← telnet コマンドで 587 に接続します。 EHLO smtp.gmail.com STARTTLS EHLO smtp.gmail.com
openssl コマンドで Gmail 経由（smtp.gmail.com 経由）でメールを送信する手順
実際にメールを送信する動作確認手順の場合は、telnet コマンドではなく openssl コマンドを使用する必要があります。
■最初にアカウントとパスワードをエンコードする
[ec2-user@redhat7 ~]$ perl -MMIME::Base64 -e ‘print encode_base64(“\000FromMailAccont\@gmail.com\000Password01234”)’
■openssl コマンドでメールを送信する手順
[ec2-user@redhat7 ~]$ openssl s_client -connect smtp.gmail.com:465 -crlf -ign_eof
～ 省略 ～
e+CkrkjZUyUmzdNa6qk= EHLO localhost ← 入力します。 AUTH PLAIN AGFjdGl2ZXZpc0BnbWFpbC5jb20AMTE5MnNhc2FnYXdh ← 入力します。 MAIL FROM: <FromMailAccount@gmail.com> ← 送信元メールアドレスを入力します。 rcpt to: <ToMailAccount@gmail.com> ← 送信先メールアドレスを入力します。 DATA ← 入力します。 Subject: テスト ← メールの件名を入力します。 テスト ← 本文を入力します。 test ← 本文を入力します。 . ← メール本番が完了したらピリオド「.」を入力します。
参考サイト
Gmail経由で簡単なSMTPコマンドを使用してメールを送信するには？
コメント