cmsssl - Online în cloud

PROGRAM:

NUME

cms - utilitar CMS

REZUMAT

OpenSSL CMS [-criptare] [-decriptează] [-semn] [-verifica] [-cmsout] [-demisiona] [-data_create]
[-date iesire] [-digest_create] [-digest_verify] [-comprima] [- decomprima]
[-EncryptedData_encrypt] [-semnare_primire] [-verify_receipt primire] [-în nume de fișier] [-informa
SMIME|PEM|DER] [-rctform SMIME|PEM|DER] [-afară nume de fișier] [-outforma SMIME|PEM|DER] [-curent
-indef -noindef] [-noindef] [-conţinut nume de fișier] [-text] [-noout] [-imprimare] [-CAfile fişier]
[-CApath dir] [-no_alt_chains] [-md digera] [-[cifru]] [-niciun intern]
[-no_signer_cert_verify] [-nocerts] [-noattr] [-nosmimecap] [-binar] [-nodetach]
[-certfile fişier] [-certsout fişier] [-semnatar fişier] [-recip fişier] [-keyid]
[-receipt_request_all -primul_cerere_chitanță] [-cerere_chitanță_de la adresa de email]
[-receipt_request_to adresa de email] [-tipărire_cerere_chitanță] [-cheie secreta cheie] [-secretkeyid
id] [-content_type tip] [- cheie fişier] [-keyopt nume:parametru] [-trece în arg] [-rand
fișier (e)] [cert.pem...] [-la adresă] [-din adresă] [-subiect subiectul respectiv] [cert.pem]...

DESCRIERE

CMS comanda se ocupă de corespondența S/MIME v3.1. Poate cripta, decripta, semna și verifica,
comprimați și decomprimați mesajele S/MIME.

COMMAND OPŢIUNI

Există paisprezece opțiuni de operare care stabilesc tipul de operație care trebuie efectuată. The
semnificația celorlalte opțiuni variază în funcție de tipul de operație.

-criptare
criptați e-mailul pentru certificatele de destinatar date. Fișierul de intrare este mesajul care urmează să fie
criptat. Fișierul de ieșire este e-mailul criptat în format MIME. Tipul real de CMS
este EnvelopedData .

-decriptează
decriptați e-mailurile folosind certificatul și cheia privată furnizate. Se așteaptă un e-mail criptat
mesaj în format MIME pentru fișierul de intrare. E-mailul decriptat este scris la ieșire
fișier.

-debug_decrypt
această opțiune setează CMS_DEBUG_DECRYPT steag. Această opțiune trebuie utilizată cu prudență:
vezi secțiunea de note de mai jos.

-semn
semnați e-mailul folosind certificatul și cheia privată furnizate. Fișierul de intrare este mesajul către
fi semnat. Mesajul semnat în format MIME este scris în fișierul de ieșire.

-verifica
verifica poșta semnată. Se așteaptă un mesaj e-mail semnat la intrare și emite mesajul semnat
date. Sunt acceptate atât textul clar, cât și semnarea opace.

-cmsout
preia un mesaj de intrare și scrie o structură CMS codificată PEM.

-demisiona
renunțați la un mesaj: preluați un mesaj existent și unul sau mai mulți semnatari noi.

-data_create
Creați un CMS Date tip.

-date iesire
Date tastați și scoateți conținutul.

-digest_create
Creați un CMS DigestedData tip.

-digest_verify
Verificați un CMS DigestedData tastați și scoateți conținutul.

-comprima
Creați un CMS CompresedData tip. OpenSSL trebuie compilat cu zlib sprijin pentru aceasta
opțiunea să funcționeze, altfel va afișa o eroare.

- decomprima
Decomprimați un CMS CompresedData tastați și scoateți conținutul. OpenSSL trebuie să fie compilat
cu zlib suportul pentru ca această opțiune să funcționeze, altfel va afișa o eroare.

-EncryptedData_encrypt
Criptați conținutul folosind cheia simetrică furnizată și algoritmul folosind un CMS EncrytedData
tastați și scoateți conținutul.

-semnare_primire
Generați și scoateți o chitanță semnată pentru mesajul furnizat. Mesajul de intrare trebuie sa
conțin o cerere de primire semnată. De altfel, funcționalitatea este similară cu -semn
operațiune.

-verify_receipt primire
Verificați o chitanță semnată în numele fișierului primire. Mesajul de intrare trebuie sa contine
cererea de chitanță originală. De altfel, funcționalitatea este similară cu -verifica operațiune.

-în nume de fișier
mesajul de intrare care urmează să fie criptat sau semnat sau mesajul care urmează să fie decriptat sau
verificat.

-informa SMIME|PEM|DER
aceasta specifică formatul de intrare pentru structura CMS. Valoarea implicită este SMIME care
citește un mesaj în format S/MIME. PEM si THE Modificați formatul pentru a aștepta PEM și DER
formatați în schimb structurile CMS. Acest lucru afectează în prezent doar formatul de intrare al CMS
structură, dacă nu este introdusă nicio structură CMS (de exemplu, cu -criptare or -semn)
această opțiune nu are efect.

-rctform SMIME|PEM|DER
specificați formatul pentru o chitanță semnată pentru utilizare cu -verify_chitanță operațiune.

-afară nume de fișier
textul mesajului care a fost decriptat sau verificat sau mesajul de ieșire în format MIME
care a fost semnat sau verificat.

-outforma SMIME|PEM|DER
aceasta specifică formatul de ieșire pentru structura CMS. Valoarea implicită este SMIME care
scrie un mesaj în format S/MIME. PEM si THE formatul modificați acest lucru pentru a scrie PEM și DER
formatați în schimb structurile CMS. Acest lucru afectează în prezent doar formatul de ieșire al fișierului
Structura CMS, dacă nu este scoasă nicio structură CMS (de exemplu, cu -verifica or
-decriptează) această opțiune nu are efect.

-curent -indef -noindef
il -curent si -indef opțiunile sunt echivalente și permit fluxul I/O pentru codare
operațiuni. Acest lucru permite procesarea cu o singură trecere a datelor fără a fi nevoie să păstrați
întreg conținut în memorie, care poate suporta fișiere foarte mari. Streamingul este
setat automat pentru semnarea S/MIME cu date detașate dacă formatul de ieșire este SMIME
în prezent este dezactivat implicit pentru toate celelalte operațiuni.

-noindef
dezactivați fluxul I/O acolo unde ar produce și lungimea nedefinită construită
codificare. Această opțiune nu are în prezent niciun efect. În viitor, streamingul va fi activat de
implicit pentru toate operațiunile relevante și această opțiune o va dezactiva.

-conţinut nume de fișier
Acesta specifică un fișier care conține conținutul detașat, acesta este util doar cu
-verifica comanda. Acest lucru este utilizabil numai dacă structura CMS folosește detached
formular de semnătură în care conținutul nu este inclus. Această opțiune va înlocui orice
conținut dacă formatul de intrare este S/MIME și folosește conținutul MIME cu mai multe părți/semnate
tip.

-text
această opțiune adaugă anteturi MIME text simplu (text/plain) la mesajul furnizat dacă
criptarea sau semnarea. Dacă se decriptează sau se verifică, anteturile textului sunt eliminate: dacă
mesajul decriptat sau verificat nu este de tip MIME text/plain, atunci apare o eroare.

-noout
pentru -cmsout operațiunea nu scoate structura CMS analizată. Acest lucru este util atunci când
combinate cu -imprimare opțiunea sau dacă sintaxa structurii CMS este în curs
verificate.

-imprimare
pentru -cmsout operațiunea tipăriți toate câmpurile structurii CMS. Aceasta este în principal
utile în scopuri de testare.

-CAfile fişier
un fișier care conține certificate CA de încredere, utilizate numai cu -verifica.

-CApath dir
un director care conține certificate CA de încredere, utilizate numai cu -verifica. Acest director
trebuie să fie un director de certificat standard: adică un hash al fiecărui nume de subiect (folosind
x509 -hash) ar trebui să fie legată de fiecare certificat.

-md digera
algoritm de digest de utilizat atunci când semnați sau demisionați. Dacă nu este prezent, atunci implicit
va fi utilizat algoritmul de digest pentru cheia de semnare (de obicei SHA1).

-[cifru]
algoritmul de criptare de utilizat. De exemplu triplu DES (168 de biți) - -des3 sau 256 de biți
AES - -aes256. Orice nume de algoritm standard (așa cum este folosit de EVP_get_cipherbyname()
funcția) poate fi folosit și precedat de o liniuță, de exemplu -aes_128_cbc. Vedea pe pentru o
lista de cifruri acceptate de versiunea dvs. de OpenSSL.

Dacă nu este specificat, se utilizează triplu DES. Folosit doar cu -criptare si -EncryptedData_create
comenzi.

-niciun intern
la verificarea unui mesaj, în mod normal, certificatele (dacă există) incluse în mesaj sunt
a căutat certificatul de semnare. Cu această opțiune doar certificatele specificate
în -certfile opțiunea sunt utilizate. Certificatele furnizate pot fi utilizate în continuare ca
CA neîncrezătoare totuși.

-no_signer_cert_verify
nu verificați certificatul de semnatar al unui mesaj semnat.

-nocerts
la semnarea unui mesaj, certificatul semnatarului este inclus în mod normal cu această opțiune
este exclus. Acest lucru va reduce dimensiunea mesajului semnat, dar verificatorul trebuie
să aibă o copie a certificatului de semnatar disponibilă la nivel local (promis folosind -certfile
opțiune de exemplu).

-noattr
în mod normal, atunci când un mesaj este semnat, sunt incluse un set de atribute care includ
timpul de semnare și algoritmi simetrici acceptați. Cu această opțiune nu sunt
inclus.

-nosmimecap
excludeți lista de algoritmi acceptați din atributele semnate, alte opțiuni precum
timpul de semnare și tipul de conținut sunt încă incluse.

-binar
în mod normal, mesajul de intrare este convertit în format „canonic”, care este efectiv
folosind CR și LF ca sfârșit de linie: așa cum este cerut de specificația S/MIME. Când aceasta
opțiunea este prezentă nu are loc nicio traducere. Acest lucru este util atunci când se manipulează date binare
care poate să nu fie în format MIME.

-nodetach
atunci când semnați un mesaj utilizați semnarea opace: acest formular este mai rezistent la traducere
prin relee de e-mail, dar nu poate fi citit de agenții de corespondență care nu acceptă S/MIME.
Fără această opțiune, este utilizată semnarea în text clar cu tipul MIME multipart/signed.

-certfile fişier
permite specificarea certificatelor suplimentare. La semnare acestea vor fi incluse
cu mesajul. La verificarea acestora vor fi căutate certificatele de semnatar.
Certificatele trebuie să fie în format PEM.

-certsout fişier
toate certificatele conținute în mesaj sunt scrise fişier.

-semnatar fişier
un certificat de semnare la semnarea sau resemnarea unui mesaj, această opțiune poate fi utilizată
de mai multe ori dacă este necesar mai mult de un semnatar. Dacă un mesaj este în curs de verificare
atunci certificatele de semnatari vor fi scrise in acest fisier daca verificarea a fost
de succes.

-recip fişier
la decriptarea unui mesaj, acesta specifică certificatul destinatarului. Certificatul
trebuie să se potrivească cu unul dintre destinatarii mesajului sau apare o eroare.

Când criptați un mesaj, această opțiune poate fi utilizată de mai multe ori pentru a specifica fiecare
destinatar. Acest formular trebuie sa poate fi utilizat dacă sunt necesari parametri personalizați (de exemplu
pentru a specifica RSA-OAEP).

-keyid
utilizați identificatorul cheii subiectului pentru a identifica certificatele în loc de numele emitentului și seria
număr. Certificatul furnizat trebuie sa include o extensie de identificare a cheii subiectului.
Susținut de -semn si -criptare opțiuni.

-receipt_request_all -primul_cerere_chitanță
pentru -semn opțiunea include o cerere de primire semnată. Indicați cererile ar trebui să fie
furnizate de către toți destinatarii sau destinatarii de primul nivel (cei trimiși direct prin poștă și nu
dintr-o listă de corespondență). L-am ignorat -cerere_chitanță_de la este inclus.

-cerere_chitanță_de la adresa de email
pentru -semn opțiunea include o cerere de primire semnată. Adăugați o adresă de e-mail explicită unde
trebuie furnizate chitanțe.

-receipt_request_to adresa de email
Adăugați o adresă de e-mail explicită la care ar trebui să fie trimise chitanțele semnate. Această opțiune
trebuie sa dar furnizat dacă a solicitat o chitanță semnată.

-tipărire_cerere_chitanță
Pentru -verifica operațiunea tipăriți conținutul oricăror cereri de chitanță semnate.

-cheie secreta cheie
specificați cheia simetrică de utilizat. Cheia trebuie să fie furnizată în format hex și să fie consecventă
cu algoritmul folosit. Sprijinit de -EncryptedData_encrypt
-EncrryptedData_decrypt, -criptare si -decriptează Opțiuni. Când este folosit cu -criptare or
-decriptează cheia furnizată este utilizată pentru a împacheta sau a despacheta cheia de criptare a conținutului folosind
o cheie AES în KEKRecipientInfo tip.

-secretkeyid id
identificatorul cheii pentru cheia simetrică furnizată pt KEKRecipientInfo tip. Acest
opțiune trebuie sa fi prezent dacă -cheie secreta opțiunea este folosită cu -criptare. Cu -decriptează
operațiunile id este folosit pentru a localiza cheia relevantă dacă nu este furnizată, atunci an
tentativa este folosită pentru a decripta orice KEKRecipientInfo structuri.

-content_type tip
setați tipul de conținut încapsulat la tip dacă nu este furnizat Date este folosit tipul. The
tip argumentul poate fi orice nume OID valid în format text sau numeric.

- cheie fişier
cheia privată de utilizat la semnare sau decriptare. Aceasta trebuie să se potrivească cu cea corespunzătoare
certificat. Dacă această opțiune nu este specificată, atunci cheia privată trebuie inclusă în
fișierul certificat specificat cu -recip or -semnatar fişier. La semnarea asta
opțiunea poate fi folosită de mai multe ori pentru a specifica cheile succesive.

-keyopt nume: opt
pentru semnare și criptare, această opțiune poate fi folosită de mai multe ori pentru a seta personalizat
parametrii pentru cheia sau certificatul precedent. În prezent poate fi folosit pentru a seta RSA-
PSS pentru semnare, RSA-OAEP pentru criptare sau pentru modificarea parametrilor impliciti pentru ECDH.

-trece în arg
sursa parolei cheii private. Pentru mai multe informații despre formatul de arg a se vedea
TRECERE FRAZA ARGUMENTE secțiune în OpenSSL(1).

-rand fișier (e)
un fișier sau fișiere care conțin date aleatorii utilizate pentru a genera generatorul de numere aleatoare sau un
Priză EGD (vezi RAND_egd(3)). Mai multe fișiere pot fi specificate separate printr-un OS-
caracter dependent. Separatorul este ; pentru MS-Windows, , pentru OpenVMS și : pentru toate
alții.

cert.pem...
unul sau mai multe certificate ale destinatarilor mesajului: utilizate la criptarea unui mesaj.

-la, -din, -subiect
anteturile corespunzatoare de e-mail. Acestea sunt incluse în afara porțiunii semnate a unui mesaj
astfel încât acestea pot fi incluse manual. Dacă semnați, mulți clienți de e-mail S/MIME verificați
adresa de e-mail a certificatului semnatarilor se potrivește cu cea specificată în adresa De la:.

-scop, -ignore_critical, -issuer_checks, -crl_check, -crl_check_all, -policy_check,
-extended_crl, -x509_strict, -politică -check_ss_sig -no_alt_chains
Setați diverse opțiuni de validare a lanțului de certificate. Vezi verifica pagina de manual pentru
Detalii.

NOTE

Mesajul MIME trebuie trimis fără linii goale între anteturi și rezultat.
Unele programe de e-mail vor adăuga automat o linie goală. Transmiterea corespondenței direct către
sendmail este o modalitate de a obține formatul corect.

Mesajul furnizat pentru a fi semnat sau criptat trebuie să includă anteturile MIME necesare sau
mulți clienți S/MIME nu îl vor afișa corect (dacă este deloc). Puteți folosi -text opțiunea pentru
adăugați automat anteturi text simplu.

Un mesaj „semnat și criptat” este unul în care un mesaj semnat este apoi criptat. Acesta poate
fi produs prin criptarea unui mesaj deja semnat: vezi secțiunea de exemple.

Această versiune a programului permite doar un semnatar per mesaj, dar va verifica mai multe
semnatari la mesajele primite. Unii clienți S/MIME se sufocă dacă un mesaj conține mai multe
semnatari. Este posibil să semnezi mesaje „în paralel” prin semnarea unui mesaj deja semnat
mesaj.

Opțiunile -criptare si -decriptează reflectă utilizarea obișnuită în clienții S/MIME. Strict
vorbind aceste procese CMS date învelite: datele criptate CMS sunt folosite în alte scopuri.

-demisiona opțiunea folosește un rezumat al mesajului existent atunci când adăugați un nou semnatar. Acest lucru înseamnă
acele atribute trebuie să fie prezente în cel puțin un semnatar existent folosind același mesaj
digest sau această operațiune va eșua.

-curent si -indef opțiunile permit suportul I/O de streaming experimental. Ca urmare a
codificarea este BER folosind codificare construită cu lungime nedefinită și nu mai DER. Streaming
este suportat pentru -criptare funcţionarea şi -semn operațiune dacă conținutul nu este
detașat.

Streamingul este întotdeauna folosit pentru -semn operatie cu date detasate dar din continut
nu mai face parte din structura CMS, codificarea rămâne DER.

În cazul în care -decriptează opțiunea este utilizată fără un certificat de destinatar, apoi se încearcă
localizați destinatarul încercând fiecare potențial destinatar la rândul său, folosind privatul furnizat
cheie. Pentru a contracara atacul MMA (atacul lui Bleichenbacher asupra umpluturii RSA PKCS #1 v1.5) toate
destinatarii sunt încercați indiferent dacă reușesc sau nu și dacă niciun destinatari nu se potrivește, mesajul este
„decriptat” folosind o cheie aleatorie care va scoate de obicei gunoi. The -debug_decrypt
opțiunea poate fi folosită pentru a dezactiva protecția împotriva atacurilor MMA și pentru a returna o eroare dacă nu
destinatarul poate fi găsit: această opțiune trebuie utilizată cu precauție. Pentru o descriere mai completa
vedea CMS_decrypt(3)).

EXIT CODURI

0 operațiunea a fost complet cu succes.

1 a apărut o eroare la analizarea opțiunilor de comandă.

2 unul dintre fișierele de intrare nu a putut fi citit.

3 a apărut o eroare la crearea fișierului CMS sau la citirea mesajului MIME.

4 a apărut o eroare la decriptarea sau verificarea mesajului.

5 mesajul a fost verificat corect, dar a apărut o eroare la scrierea semnatarilor
certificate.

COMPATIBILITATE CU PKCS#7 format.

zâmbitoare utilitatea poate procesa doar pe cele mai vechi PKCS#7 format. The CMS suporturi utilitare
Format de sintaxă a mesajelor criptografice. Utilizarea unor caracteristici va avea ca rezultat mesaje care
nu poate fi procesat de aplicații care acceptă doar formatul mai vechi. Acestea sunt
detaliat mai jos.

Utilizarea acestui -keyid opțiunea cu -semn or -criptare.

-outforma PEM opțiunea folosește anteturi diferite.

-comprima opțiune.

-cheie secreta opțiune atunci când este utilizat cu -criptare.

Utilizarea PSS cu -semn.

Utilizarea cheilor OAEP sau non-RSA cu -criptare.

În plus, -EncryptedData_create si -data_create tipul nu poate fi procesat de către
mai în vârstă zâmbitoare comanda.

EXEMPLE

Creați un mesaj text clar semnat:

openssl cms -sign -in message.txt -text -out mail.msg \
-semnatar mycert.pem

Creați un mesaj opac semnat

openssl cms -sign -in message.txt -text -out mail.msg -nodetach \
-semnatar mycert.pem

Creați un mesaj semnat, includeți câteva certificate suplimentare și citiți cheia privată
dintr-un alt fisier:

openssl cms -sign -in in.txt -text -out mail.msg \
-semnatar mycert.pem -inkey mykey.pem -certfile mycerts.pem

Creați un mesaj semnat cu doi semnatari, utilizați identificatorul cheii:

openssl cms -sign -in message.txt -text -out mail.msg \
-signator mycert.pem -semnatar othercert.pem -keyid

Trimiteți un mesaj semnat sub Unix direct către sendmail, inclusiv anteturile:

openssl cms -sign -in in.txt -text -signer mycert.pem \
-din [e-mail protejat] -cuiva@undeva \
-subiect „Mesaj semnat” | trimite e-mail pe cineva@undeva

Verificați un mesaj și extrageți certificatul semnatarului dacă aveți succes:

openssl cms -verify -in mail.msg -signer user.pem -out signedtext.txt

Trimiteți e-mailuri criptate folosind triplu DES:

openssl cms -encrypt -in in.txt -from [e-mail protejat] \
-cuiva@undeva -subiect „Mesaj criptat” \
-des3 user.pem -out mail.msg

Semnează și criptează e-mailul:

openssl cms -sign -in ml.txt -signer my.pem -text \
| openssl cms -encrypt -out mail.msg \
-din [e-mail protejat] -cuiva@undeva \
-subiectul „Mesaj semnat și criptat” -des3 user.pem

Notă: comanda de criptare nu include -text opțiune deoarece mesajul fiind
criptat are deja antete MIME.

Decriptează e-mailul:

openssl cms -decrypt -in mail.msg -recip mycert.pem -inkey key.pem

Rezultatul de la semnarea formularelor Netscape este o structură PKCS#7 cu semnătura detașată
format. Puteți utiliza acest program pentru a verifica semnătura prin împachetarea liniilor pe baza64
structura codificată și înconjurând-o cu:

-----ÎNCEPE PKCS7-----

-----END PKCS7-----
și folosind comanda,

openssl cms -verify -inform PEM -in signature.pem -content content.txt

alternativ, puteți decoda semnătura și utilizați baza64

openssl cms -verify -inform DER -in signature.der -content content.txt

Creați un mesaj criptat folosind Camellia pe 128 de biți:

openssl cms -encrypt -in plain.txt -camellia128 -out mail.msg cert.pem

Adăugați un semnatar la un mesaj existent:

openssl cms -resign -in mail.msg -signer newsign.pem -out mail2.msg

Semnează e-mail folosind RSA-PSS:

openssl cms -sign -in message.txt -text -out mail.msg \
-signator mycert.pem -keyopt rsa_padding_mode:pss

Creați e-mail criptat folosind RSA-OAEP:

openssl cms -encrypt -in plain.txt -out mail.msg \
-recip cert.pem -keyopt rsa_padding_mode:oaep

Utilizați SHA256 KDF cu un certificat ECDH:

openssl cms -encrypt -in plain.txt -out mail.msg \
-recip ecdhcert.pem -keyopt ecdh_kdf_md:sha256

Utilizați cmsssl online folosind serviciile onworks.net