使用 openssl 命令行加密字符串答案

【问题标题】：Encrypt a string using openssl command line使用 openssl 命令行加密字符串
【发布时间】：2012-04-23 19:22:20
【问题描述】：

我有一个 16 字节的字符，我想使用 openssl 将它加密成一个 16 字节的加密字符串。

然后需要将此加密字符串（以人类可读格式）提供给将要使用它的用户，并且该字符串将被解密为其原始 16 字节形式以进行比较和验证。谁能告诉我如何使用 openssl 命令行实现这一点。

提前致谢。

【问题讨论】：

从 16 字节加密为 16 字节不太可能产生人类可读的字符串。
+1 重新打开。这里要问什么是 100% 明显的。不过我会重申一下：如何使用openssl 命令加密字符串？这不是一项显而易见的任务，用户提供了他的请求的上下文。
@G-Wiz: “你如何使用 openssl 命令加密字符串” - 这是 Stack Overflow 的主题吗？它确实 not 似乎与编程相关。这听起来像是一个命令帮助请求，这更适合Super User。
@jww，我不同意这一点。但是问题应该被迁移，而不是关闭。

标签： linux openssl

【解决方案1】：

试试这个

$ echo "a_byte_character" | openssl enc -base64

你有 100 多种密码类型

-aes-128-cbc               -aes-128-cfb               -aes-128-cfb1             
-aes-128-cfb8              -aes-128-ctr               -aes-128-ecb              
-aes-128-gcm               -aes-128-ofb               -aes-128-xts              
-aes-192-cbc               -aes-192-cfb               -aes-192-cfb1             
-aes-192-cfb8              -aes-192-ctr               -aes-192-ecb              
-aes-192-gcm               -aes-192-ofb               -aes-256-cbc              
-aes-256-cfb               -aes-256-cfb1              -aes-256-cfb8             
-aes-256-ctr               -aes-256-ecb               -aes-256-gcm              
-aes-256-ofb               -aes-256-xts               -aes128                   
-aes192                    -aes256                    -bf                       
-bf-cbc                    -bf-cfb                    -bf-ecb                   
-bf-ofb                    -blowfish                  -camellia-128-cbc         
-camellia-128-cfb          -camellia-128-cfb1         -camellia-128-cfb8        
-camellia-128-ecb          -camellia-128-ofb          -camellia-192-cbc         
-camellia-192-cfb          -camellia-192-cfb1         -camellia-192-cfb8        
-camellia-192-ecb          -camellia-192-ofb          -camellia-256-cbc         
-camellia-256-cfb          -camellia-256-cfb1         -camellia-256-cfb8        
-camellia-256-ecb          -camellia-256-ofb          -camellia128              
-camellia192               -camellia256               -cast                     
-cast-cbc                  -cast5-cbc                 -cast5-cfb                
-cast5-ecb                 -cast5-ofb                 -des                      
-des-cbc                   -des-cfb                   -des-cfb1                 
-des-cfb8                  -des-ecb                   -des-ede                  
-des-ede-cbc               -des-ede-cfb               -des-ede-ofb              
-des-ede3                  -des-ede3-cbc              -des-ede3-cfb             
-des-ede3-cfb1             -des-ede3-cfb8             -des-ede3-ofb             
-des-ofb                   -des3                      -desx                     
-desx-cbc                  -id-aes128-GCM             -id-aes192-GCM            
-id-aes256-GCM             -rc2                       -rc2-40-cbc               
-rc2-64-cbc                -rc2-cbc                   -rc2-cfb                  
-rc2-ecb                   -rc2-ofb                   -rc4                      
-rc4-40                    -rc4-hmac-md5              -seed                     
-seed-cbc                  -seed-cfb                  -seed-ecb                 
-seed-ofb

【讨论】：

请注意，“enc 实用程序不支持 XTS 模式下的密码。”
正如 Meyer 先生所说，令人遗憾的是，命令行不支持在同一运行中进行加密和身份验证的最佳密码，如 -aes-256-gcm .

【解决方案2】：

试试这个：

echo 'foo' | openssl aes-256-cbc -a -salt
echo 'U2FsdGVkX1/QGdl4syQE8bLFSr2HzoAlcG299U/T/Xk=' | openssl aes-256-cbc -a -d -salt

运行

openssl list-cipher-commands

列出所有可用的密码。

【讨论】：

【解决方案3】：

我有一个 16 字节的字符，我想使用 openssl 将它加密成一个 16 字节的加密字符串 [以人类可读的格式]

我相信您正在寻找 Format Preserving Encryption。我认为需要注意的是你必须从一个 16 字节的人类可读字符串开始。 Phillip Rogaway 有一篇关于技术的论文：Synopsis of Format-Preserving Encryption。论文内容很多，在 Stack Overflow 上一个段落都写不下。

如果您可以从较短的字符串开始并使用 OCB、OFB 或 CTR 等流模式，那么您可以对最终字符串进行 Base64 编码，以便结果为 16 字节且人类可读。 Base64 以 3 → 4 的速率扩展（3 个未编码扩展为 4 个编码），因此您需要长度为 12 个字符的较短字符串来实现 16 个人类可读字符。

据我所知，没有任何命令行工具可以本地执行此操作。您可以在命令行上使用 OpenSSL 与 AES/CTR 并通过base64 命令对其进行管道传输。以下内容很接近，但它以 11 个字符（而不是 12 个）开头：

$ echo 12345678901 | openssl enc -e -base64 -aes-128-ctr -nopad -nosalt -k secret_password
cSTzU8+UPQQwpRAq

另外，您真的需要了解-k 选项（以及-K），以及它如何派生密钥以便您可以在 OpenSSL 命令之外执行此操作（如果需要）。

【讨论】：

这个确切的命令有效，但显示了一个警告：*** WARNING : deprecated key derivation used. Using -iter or -pbkdf2 would be better. 所以我添加了-pbkdf2 参数并运行$ echo 12345678901 | openssl enc -e -base64 -aes-128-ctr -pbkdf2 -nopad -nosalt -k secret_password iN/tCC7mTw3AWPn2 以避免这个警告
-nopad 不影响输出，因此：echo 12345678901 | openssl enc -e -base64 -aes-128-ctr -nosalt -pbkdf2 -k secret_password 产生与 echo 12345678901 | openssl enc -e -base64 -aes-128-ctr -nopad -nosalt -pbkdf2 -k secret_password 相同的输出
然后解密？
回显加密字符串并在管道 openssl 命令中将 -e 标志更改为 -d

【解决方案4】：

这是在命令行上使用 openssl 加密字符串的一种方法（必须输入两次密码）：

echo -n "aaaabbbbccccdddd" | openssl enc -e -aes-256-cbc -a -salt
enter aes-256-cbc encryption password:
Verifying - enter aes-256-cbc encryption password:

这是输出的样子：

U2FsdGVkX1/6LATntslD80T2HEIn3A0BqxarNfwbg31D2kI00dYbmBo8Mqt42PIm

编辑：据我所知，您无法控制输出的字节数。您可以对其进行 b64 或十六进制编码，仅此而已。此外，如果您想将该字符串保存到文件而不是标准输出，请使用 -out 选项。

【讨论】：

谢谢，但是有没有其他方法可以加密一个 16 个字符的字符串并在 Linux 中使用命令行生成一个 16 个字符的加密字符串
为什么输出必须正好是 16 个字节？为什么这很重要？
你为什么用-aes-256-cbc而不是-aes-256？有什么区别？
"... 字符串将被解密为其原始的 16 字节形式以进行比较和验证" - 您有任何密钥管理要求吗？用户如何获得密钥？
这会给出警告“使用 -iter 或 -pbkdf2 会更好。”。我应该改用什么命令？