.\" -*- mode: troff; coding: utf-8 -*-
.\" Automatically generated by Pod::Man v6.0.2 (Pod::Simple 3.45)
.\"
.\" Standard preamble:
.\" ========================================================================
.de Sp \" Vertical space (when we can't use .PP)
.if t .sp .5v
.if n .sp
..
.de Vb \" Begin verbatim text
.ft CW
.nf
.ne \\$1
..
.de Ve \" End verbatim text
.ft R
.fi
..
.\" \*(C` and \*(C' are quotes in nroff, nothing in troff, for use with C<>.
.ie n \{\
.    ds C` ""
.    ds C' ""
'br\}
.el\{\
.    ds C`
.    ds C'
'br\}
.\"
.\" Escape single quotes in literal strings from groff's Unicode transform.
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\"
.\" If the F register is >0, we'll generate index entries on stderr for
.\" titles (.TH), headers (.SH), subsections (.SS), items (.Ip), and index
.\" entries marked with X<> in POD.  Of course, you'll have to process the
.\" output yourself in some meaningful fashion.
.\"
.\" Avoid warning from groff about undefined register 'F'.
.de IX
..
.nr rF 0
.if \n(.g .if rF .nr rF 1
.if (\n(rF:(\n(.g==0)) \{\
.    if \nF \{\
.        de IX
.        tm Index:\\$1\t\\n%\t"\\$2"
..
.        if !\nF==2 \{\
.            nr % 0
.            nr F 2
.        \}
.    \}
.\}
.rr rF
.\"
.\" Required to disable full justification in groff 1.23.0.
.if n .ds AD l
.\" ========================================================================
.\"
.IX Title "OPENSSL-CMS 1ssl"
.TH OPENSSL-CMS 1ssl 2026-08-25 3.6.4 OpenSSL
.\" For nroff, turn off justification.  Always turn off hyphenation; it makes
.\" way too many mistakes in technical documents.
.if n .ad l
.nh
.SH "نام (NAME)"
openssl\-cms \- دستور CMS برای مدیریت پیام‌های S/MIME و داده‌های ساخت‌یافته رمزنگاری‌شده
.SH "خلاصه دستور (SYNOPSIS)"
.IX Header "SYNOPSIS"
\&\fBopenssl\fR \fBcms\fR
[\fB\-help\fR]
.PP
گزینه‌های عمومی:
.PP
[\fB\-in\fR \fIfilename\fR]
[\fB\-out\fR \fIfilename\fR]
[\fB\-config\fR \fIconfigfile\fR]
.PP
گزینه‌های عملیات:
.PP
[\fB\-encrypt\fR]
[\fB\-decrypt\fR]
[\fB\-sign\fR]
[\fB\-verify\fR]
[\fB\-resign\fR]
[\fB\-sign_receipt\fR]
[\fB\-verify_receipt\fR \fIreceipt\fR]
[\fB\-digest\fR \fIdigest\fR]
[\fB\-digest_create\fR]
[\fB\-digest_verify\fR]
[\fB\-compress\fR]
[\fB\-uncompress\fR]
[\fB\-EncryptedData_encrypt\fR]
[\fB\-EncryptedData_decrypt\fR]
[\fB\-data_create\fR]
[\fB\-data_out\fR]
[\fB\-cmsout\fR]
.PP
گزینه‌های قالب فایل:
.PP
[\fB\-inform\fR \fBDER\fR|\fBPEM\fR|\fBSMIME\fR]
[\fB\-outform\fR \fBDER\fR|\fBPEM\fR|\fBSMIME\fR]
[\fB\-rctform\fR \fBDER\fR|\fBPEM\fR|\fBSMIME\fR]
[\fB\-stream\fR]
[\fB\-indef\fR]
[\fB\-noindef\fR]
[\fB\-binary\fR]
[\fB\-crlfeol\fR]
[\fB\-asciicrlf\fR]
.PP
گزینه‌های کلیدها و گذرواژه:
.PP
[\fB\-pwri_password\fR \fIpassword\fR]
[\fB\-secretkey\fR \fIkey\fR]
[\fB\-secretkeyid\fR \fIid\fR]
[\fB\-inkey\fR \fIfilename\fR|\fIuri\fR]
[\fB\-passin\fR \fIarg\fR]
[\fB\-keyopt\fR \fIname\fR:\fIparameter\fR]
[\fB\-keyform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR|\fBENGINE\fR]
[\fB\-engine\fR \fIid\fR]
[\fB\-provider\fR \fIname\fR]
[\fB\-provider\-path\fR \fIpath\fR]
[\fB\-provparam\fR \fI[name:]key=value\fR]
[\fB\-propquery\fR \fIpropq\fR]
[\fB\-rand\fR \fIfiles\fR]
[\fB\-writerand\fR \fIfile\fR]
.PP
گزینه‌های رمزگذاری:
.PP
[\fB\-originator\fR \fIfile\fR]
[\fB\-recip\fR \fIfile\fR]
[\fIrecipient\-cert\fR ...]
[\fB\-\fR\f(BIcipher\fR]
[\fB\-kekcipher\fR \fIcipher\fR]
[\fB\-wrap\fR \fIcipher\fR]
[\fB\-aes128\-wrap\fR]
[\fB\-aes192\-wrap\fR]
[\fB\-aes256\-wrap\fR]
[\fB\-des3\-wrap\fR]
[\fB\-debug_decrypt\fR]
[\fB\-recip_kdf\fR \fIkdf\fR]
[\fB\-recip_ukm\fR \fIukm\fR]
.PP
گزینه‌های امضا:
.PP
[\fB\-md\fR \fIdigest\fR]
[\fB\-signer\fR \fIfile\fR]
[\fB\-certfile\fR \fIfile\fR]
[\fB\-cades\fR]
[\fB\-nodetach\fR]
[\fB\-nocerts\fR]
[\fB\-noattr\fR]
[\fB\-nosmimecap\fR]
[\fB\-no_signing_time\fR]
[\fB\-receipt_request_all\fR]
[\fB\-receipt_request_first\fR]
[\fB\-receipt_request_from\fR \fIemailaddress\fR]
[\fB\-receipt_request_to\fR \fIemailaddress\fR]
.PP
گزینه‌های اعتبارسنجی:
.PP
[\fB\-signer\fR \fIfile\fR]
[\fB\-content\fR \fIfilename\fR]
[\fB\-no_content_verify\fR]
[\fB\-no_attr_verify\fR]
[\fB\-nosigs\fR]
[\fB\-noverify\fR]
[\fB\-nointern\fR]
[\fB\-cades\fR]
[\fB\-verify_retcode\fR]
[\fB\-CAfile\fR \fIfile\fR]
[\fB\-no\-CAfile\fR]
[\fB\-CApath\fR \fIdir\fR]
[\fB\-no\-CApath\fR]
[\fB\-CAstore\fR \fIuri\fR]
[\fB\-no\-CAstore\fR]
.PP
گزینه‌های خروجی:
.PP
[\fB\-keyid\fR]
[\fB\-econtent_type\fR \fItype\fR]
[\fB\-text\fR]
[\fB\-certsout\fR \fIfile\fR]
[\fB\-to\fR \fIaddr\fR]
[\fB\-from\fR \fIaddr\fR]
[\fB\-subject\fR \fIsubj\fR]
.PP
گزینه‌های چاپ:
.PP
[\fB\-noout\fR]
[\fB\-print\fR]
[\fB\-nameopt\fR \fIoption\fR]
[\fB\-receipt_request_print\fR]
.PP
گزینه‌های اعتبارسنجی:
.PP
[\fB\-allow_proxy_certs\fR]
[\fB\-attime\fR \fItimestamp\fR]
[\fB\-no_check_time\fR]
[\fB\-check_ss_sig\fR]
[\fB\-crl_check\fR]
[\fB\-crl_check_all\fR]
[\fB\-explicit_policy\fR]
[\fB\-extended_crl\fR]
[\fB\-ignore_critical\fR]
[\fB\-inhibit_any\fR]
[\fB\-inhibit_map\fR]
[\fB\-partial_chain\fR]
[\fB\-policy\fR \fIarg\fR]
[\fB\-policy_check\fR]
[\fB\-policy_print\fR]
[\fB\-purpose\fR \fIpurpose\fR]
[\fB\-suiteB_128\fR]
[\fB\-suiteB_128_only\fR]
[\fB\-suiteB_192\fR]
[\fB\-trusted_first\fR]
[\fB\-no_alt_chains\fR]
[\fB\-use_deltas\fR]
[\fB\-auth_level\fR \fInum\fR]
[\fB\-verify_depth\fR \fInum\fR]
[\fB\-verify_email\fR \fIemail\fR]
[\fB\-verify_hostname\fR \fIhostname\fR]
[\fB\-verify_ip\fR \fIip\fR]
[\fB\-verify_name\fR \fIname\fR]
[\fB\-x509_strict\fR]
[\fB\-issuer_checks\fR]
.SH "توضیحات (DESCRIPTION)"
.IX Header "DESCRIPTION"
این دستور داده‌ها را در قالب CMS، مانند پیام‌های ایمیل S/MIME نسخه ۳.۱، مدیریت می‌کند.
این دستور می‌تواند پیام‌ها را رمزگذاری، رمزگشایی، امضا، اعتبارسنجی، فشرده‌سازی، از فشرده‌سازی خارج و چاپ نماید.
.SH "گزینه‌ها (OPTIONS)"
.IX Header "OPTIONS"
تعدادی گزینه عملیاتی وجود دارند که نوع عملیات مورد نظر را تعیین می‌کنند:
encrypt، decrypt، sign، verify، resign، sign_receipt، verify_receipt،
digest_create، digest_verify، compress، uncompress،
EncryptedData_encrypt، EncryptedData_decrypt، data_create، data_out یا cmsout.
ارتباط سایر گزینه‌ها به نوع عملیات بستگی دارد و مفهوم آن‌ها ممکن است بر اساس آن متفاوت باشد.
.IP \fB\-help\fR 4
.IX Item "-help"
نمایش پیام راهنمای نحوه استفاده.
.SS "گزینه‌های عمومی (General options)"
.IX Subsection "General options"
.IP "\fB\-in\fR \fIfilename\fR" 4
.IX Item "-in filename"
پیام ورودی که باید رمزگذاری یا امضا شود، یا پیامی که باید رمزگشایی یا اعتبارسنجی گردد.
.IP "\fB\-out\fR \fIfilename\fR" 4
.IX Item "-out filename"
متن پیامی که رمزگشایی یا اعتبارسنجی شده است، یا پیام خروجی با قالب MIME که امضا یا اعتبارسنجی شده است.
.IP "\fB\-config\fR \fIconfigfile\fR" 4
.IX Item "-config configfile"
بخش «گزینه پیکربندی» در \fBopenssl\fR\|(1) را ببینید.
.SS "گزینه‌های عملیات (Operation options)"
.IX Subsection "Operation options"
.IP \fB\-encrypt\fR 4
.IX Item "-encrypt"
داده‌ها را برای گواهی‌های گیرنده مشخص‌شده رمزگذاری می‌کند. فایل ورودی همان پیامی است که باید رمزگذاری شود. فایل خروجی داده‌های رمزگذاری‌شده در قالب MIME است. نوع واقعی CMS برابر با \fBEnvelopedData\fR است.
.Sp
توجه داشته باشید که هیچ بررسی ابطالی برای گواهی گیرنده انجام نمی‌شود؛ بنابراین اگر آن کلید افشا شده باشد، ممکن است دیگران بتوانند متن را رمزگشایی کنند.
.IP \fB\-decrypt\fR 4
.IX Item "-decrypt"
داده‌ها را با استفاده از گواهی و کلید خصوصی ارائه‌شده رمزگشایی می‌کند. برای فایل ورودی انتظار داده‌های رمزگذاری‌شده در قالب MIME را دارد. داده‌های رمزگشایی‌شده در فایل خروجی نوشته می‌شوند.
.IP \fB\-sign\fR 4
.IX Item "-sign"
داده‌ها را با استفاده از گواهی و کلید خصوصی ارائه‌شده امضا می‌کند. فایل ورودی همان پیامی است که باید امضا شود. داده‌های امضاشده در قالب MIME در فایل خروجی نوشته می‌شوند.
.IP \fB\-verify\fR 4
.IX Item "-verify"
داده‌های امضاشده را اعتبارسنجی می‌کند. در ورودی انتظار یک داده امضاشده را دارد و داده‌های امضاشده را در خروجی می‌دهد. هر دو نوع امضای متن‌واضح (clear text) و مات (opaque) پشتیبانی می‌شوند.
.Sp
به‌طور پیش‌فرض، اعتبارسنجی گواهی‌های امضاکننده و زنجیره آن‌ها با توجه به هدف امضای S/MIME (\f(CW\*(C`smimesign\*(C'\fR) انجام می‌شود. برای جزئیات بیشتر بخش «پسوندهای گواهی» در \fBopenssl\-verification\-options\fR\|(1) را ببینید.
.IP \fB\-resign\fR 4
.IX Item "-resign"
امضای مجدد یک پیام: دریافت یک پیام موجود و اعمال یک یا چند امضاکننده جدید روی آن.
.IP \fB\-sign_receipt\fR 4
.IX Item "-sign_receipt"
تولید و ارسال رسید امضاشده برای پیام ارائه‌شده. پیام ورودی \fBباید\fR شامل یک درخواست رسید امضاشده باشد. عملکرد این گزینه در سایر موارد مشابه عملیات \fB\-sign\fR است.
.IP "\fB\-verify_receipt\fR \fIreceipt\fR" 4
.IX Item "-verify_receipt receipt"
اعتبارسنجی یک رسید امضاشده در فایل \fBreceipt\fR. پیام ورودی \fBباید\fR شامل درخواست رسید اصلی باشد. عملکرد این گزینه در سایر موارد مشابه عملیات \fB\-verify\fR است.
.IP "\fB\-digest\fR \fIdigest\fR" 4
.IX Item "-digest digest"
هنگامی که همراه با \fB\-sign\fR استفاده می‌شود، خلاصه پیام (digest) را به صورت هگزادسیمال دریافت می‌کند، به جای این‌که آن را از محتوای پیام اصلی محاسبه نماید. نمی‌تواند با \fB\-in\fR یا \fB\-nodetach\fR ترکیب شود.
.Sp
این عملیات معادل CMS برای امضا در \fBopenssl\-pkeyutl\fR\|(1) است. هنگام امضای یک خلاصه از پیش محاسبه‌شده، امنیت به قابل اعتماد بودن خلاصه پیام و محاسبه صحیح آن از پیام اصلی وابسته است.
.IP \fB\-digest_create\fR 4
.IX Item "-digest_create"
ایجاد یک نوع CMS از جنس \fBDigestedData\fR.
.IP \fB\-digest_verify\fR 4
.IX Item "-digest_verify"
اعتبارسنجی یک نوع CMS از جنس \fBDigestedData\fR و ارسال محتوا به خروجی.
.IP \fB\-compress\fR 4
.IX Item "-compress"
ایجاد یک نوع CMS از جنس \fBCompressedData\fR. برای کارکرد این گزینه، OpenSSL باید با پشتیبانی از \fBzlib\fR کامپایل شده باشد؛ در غیر این صورت خطا نمایش داده خواهد شد.
.IP \fB\-uncompress\fR 4
.IX Item "-uncompress"
خارج کردن یک نوع CMS از جنس \fBCompressedData\fR از حالت فشرده و ارسال محتوا به خروجی. برای کارکرد این گزینه، OpenSSL باید با پشتیبانی از \fBzlib\fR کامپایل شده باشد؛ در غیر این صورت خطا نمایش داده خواهد شد.
.IP \fB\-EncryptedData_encrypt\fR 4
.IX Item "-EncryptedData_encrypt"
رمزگذاری محتوا با استفاده از کلید متقارن و الگوریتم ارائه‌شده با بهره‌گیری از یک نوع CMS از جنس \fBEncryptedData\fR و ارسال محتوا به خروجی.
.IP \fB\-EncryptedData_decrypt\fR 4
.IX Item "-EncryptedData_decrypt"
رمزگشایی محتوا با استفاده از کلید متقارن و الگوریتم ارائه‌شده با بهره‌گیری از یک نوع CMS از جنس \fBEncryptedData\fR و ارسال محتوا به خروجی.
.IP \fB\-data_create\fR 4
.IX Item "-data_create"
ایجاد یک نوع CMS از جنس \fBData\fR.
.IP \fB\-data_out\fR 4
.IX Item "-data_out"
نوع \fBData\fR و ارسال محتوا به خروجی.
.IP \fB\-cmsout\fR 4
.IX Item "-cmsout"
یک پیام ورودی را می‌گیرد و یک ساختار CMS با کدگذاری PEM در خروجی می‌نویسد.
.SS "گزینه‌های قالب فایل (File format options)"
.IX Subsection "File format options"
.IP "\fB\-inform\fR \fBDER\fR|\fBPEM\fR|\fBSMIME\fR" 4
.IX Item "-inform DER|PEM|SMIME"
قالب ورودی ساختار CMS (در صورتی که در حال خوانده شدن باشد)؛
مقدار پیش‌فرض \fBSMIME\fR است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-outform\fR \fBDER\fR|\fBPEM\fR|\fBSMIME\fR" 4
.IX Item "-outform DER|PEM|SMIME"
قالب خروجی ساختار CMS (در صورتی که در حال نوشته شدن باشد)؛
مقدار پیش‌فرض \fBSMIME\fR است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-rctform\fR \fBDER\fR|\fBPEM\fR|\fBSMIME\fR" 4
.IX Item "-rctform DER|PEM|SMIME"
قالب رسید امضاشده برای استفاده با \fB\-receipt_verify\fR؛ مقدار پیش‌فرض
\fBSMIME\fR است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-stream\fR, \fB\-indef\fR" 4
.IX Item "-stream, -indef"
گزینه‌های \fB\-stream\fR و \fB\-indef\fR معادل یکدیگر هستند و ورودی/خروجی جریانی
را برای عملیات‌های کدگذاری فعال می‌کنند. این قابلیت پردازش تک‌گذره داده‌ها را بدون
نیاز به نگهداری کل محتوا در حافظه ممکن می‌سازد، که به طور بالقوه از فایل‌های بسیار بزرگ پشتیبانی
می‌کند. حالت جریانی برای امضای S/MIME با داده‌های جداشده در صورتی که قالب خروجی
\fBSMIME\fR باشد به طور خودکار تنظیم می‌شود؛ این ویژگی در حال حاضر به طور پیش‌فرض برای تمام
عملیات‌های دیگر غیرفعال است.
.IP \fB\-noindef\fR 4
.IX Item "-noindef"
ورودی/خروجی جریانی را در مواردی که منجر به تولید کدگذاری ساخته‌شده با طول نامعین می‌شود غیرفعال می‌کند. این گزینه در حال حاضر هیچ تاثیری ندارد. در آینده حالت جریانی به طور پیش‌فرض در تمام عملیات‌های مربوطه فعال خواهد شد و این گزینه آن را غیرفعال خواهد کرد.
.IP \fB\-binary\fR 4
.IX Item "-binary"
به طور معمول پیام ورودی به قالب «استاندارد» (Canonical) تبدیل می‌شود که
در عمل از کاراکترهای CR و LF به عنوان پایان خط استفاده می‌کند، همان‌گونه که مشخصات S/MIME
الزام کرده است. زمانی که این گزینه ارائه شود هیچ تبدیلی صورت نمی‌گیرد. این ویژگی
هنگام مدیریت داده‌های باینری که ممکن است در قالب MIME نباشند کاربرد دارد.
.IP \fB\-crlfeol\fR 4
.IX Item "-crlfeol"
به طور معمول فایل خروجی از یک \fBLF\fR به عنوان پایان خط استفاده می‌کند. با مشخص شدن این
گزینه، به جای آن از \fBCRLF\fR استفاده می‌شود.
.IP \fB\-asciicrlf\fR 4
.IX Item "-asciicrlf"
هنگام امضا، از استانداردسازی به قالب ASCII CRLF استفاده می‌کند. این کار فاصله‌های انتهایی را
از تمامی خطوط حذف کرده، خطوط خالی انتهایی را در پایان فایل (EOF) پاک می‌کند و نوع
محتوای کپسوله‌شده را تنظیم می‌نماید. این گزینه معمولاً با محتوای جداشده و قالب
امضای خروجی DER استفاده می‌شود. این گزینه در هنگام اعتبارسنجی معمولاً مورد نیاز نیست،
زیرا در صورت تشخیص قالب محتوای کپسوله‌شده به طور خودکار فعال می‌شود.
.SS "گزینه‌های کلیدها و گذرواژه (Keys and password options)"
.IX Subsection "Keys and password options"
.IP "\fB\-pwri_password\fR \fIpassword\fR" 4
.IX Item "-pwri_password password"
گذرواژه را برای گیرنده مشخص می‌کند.
.IP "\fB\-secretkey\fR \fIkey\fR" 4
.IX Item "-secretkey key"
کلید متقارن مورد استفاده را مشخص می‌کند. کلید باید در قالب هگزادسیمال ارائه شود و با
الگوریتم مورد استفاده همخوانی داشته باشد. توسط گزینه‌های \fB\-EncryptedData_encrypt\fR،
\&\fB\-EncryptedData_decrypt\fR، \fB\-encrypt\fR و \fB\-decrypt\fR پشتیبانی می‌شود. هنگام استفاده
با \fB\-encrypt\fR یا \fB\-decrypt\fR، کلید ارائه‌شده برای بسته‌بندی یا باز کردن بسته‌بندی
کلید رمزگذاری محتوا با استفاده از یک کلید AES در نوع \fBKEKRecipientInfo\fR به کار می‌رود.
.IP "\fB\-secretkeyid\fR \fIid\fR" 4
.IX Item "-secretkeyid id"
شناسه کلید برای کلید متقارن ارائه‌شده برای نوع \fBKEKRecipientInfo\fR.
اگر گزینه \fB\-secretkey\fR به همراه \fB\-encrypt\fR به کار رود، این گزینه \fBباید\fR حضور داشته باشد.
در عملیات‌های \fB\-decrypt\fR، شناسه \fIid\fR برای یافتن کلید مربوطه به کار می‌رود؛ اگر ارائه نشود،
تلاشی برای رمزگشایی تمامی ساختارهای \fBKEKRecipientInfo\fR صورت می‌گیرد.
.IP "\fB\-inkey\fR \fIfilename\fR|\fIuri\fR" 4
.IX Item "-inkey filename|uri"
کلید خصوصی مورد استفاده هنگام امضا یا رمزگشایی. این کلید باید با گواهی مربوطه مطابقت
داشته باشد. اگر این گزینه مشخص نشود، کلید خصوصی باید در فایل گواهیِ مشخص‌شده با فایل
\&\fB\-recip\fR یا \fB\-signer\fR گنجانده شده باشد. هنگام امضا، این گزینه می‌تواند چندین بار برای
مشخص کردن کلیدهای متوالی استفاده شود.
.IP "\fB\-passin\fR \fIarg\fR" 4
.IX Item "-passin arg"
منبع گذرواژه کلید خصوصی. برای اطلاعات بیشتر درباره قالب \fBarg\fR
به \fBopenssl\-passphrase\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-keyopt\fR \fIname\fR:\fIparameter\fR" 4
.IX Item "-keyopt name:parameter"
برای امضا و رمزگذاری، این گزینه می‌تواند چندین بار برای تنظیم پارامترهای سفارشی‌شده برای
کلید یا گواهی پیشین استفاده شود. در حال حاضر می‌تواند برای تنظیم RSA\-PSS برای امضا، RSA\-OAEP
برای رمزگذاری یا اصلاح پارامترهای پیش‌فرض برای ECDH استفاده شود.
.IP "\fB\-keyform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR|\fBENGINE\fR" 4
.IX Item "-keyform DER|PEM|P12|ENGINE"
قالب فایل کلید خصوصی؛ به طور پیش‌فرض تعیین‌نشده است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-engine\fR \fIid\fR" 4
.IX Item "-engine id"
به «گزینه‌های موتور (Engine Options)» در \fBopenssl\fR\|(1) مراجعه کنید.
این گزینه منسوخ شده است.
.IP "\fB\-provider\fR \fIname\fR" 4
.IX Item "-provider name"
.PD 0
.IP "\fB\-provider\-path\fR \fIpath\fR" 4
.IX Item "-provider-path path"
.IP "\fB\-provparam\fR \fI[name:]key=value\fR" 4
.IX Item "-provparam [name:]key=value"
.IP "\fB\-propquery\fR \fIpropq\fR" 4
.IX Item "-propquery propq"
.PD
به «گزینه‌های ارائه‌دهنده (Provider Options)» در \fBopenssl\fR\|(1)، \fBprovider\fR\|(7) و \fBproperty\fR\|(7) مراجعه کنید.
.IP "\fB\-rand\fR \fIfiles\fR, \fB\-writerand\fR \fIfile\fR" 4
.IX Item "-rand files, -writerand file"
به «گزینه‌های وضعیت تصادفی (Random State Options)» در \fBopenssl\fR\|(1) برای جزئیات مراجعه کنید.
.SS "گزینه‌های رمزگذاری و رمزگشایی (Encryption and decryption options)"
.IX Subsection "Encryption and decryption options"
.IP "\fB\-originator\fR \fIfile\fR" 4
.IX Item "-originator file"
گواهی ارسال‌کننده پیام رمزگذاری‌شده. هنگام استفاده از توافق کلید (Key Agreement) برای یک کلید مشترک، جهت رمزگشایی ضروری است. در حال حاضر، برای رمزگذاری مجاز نیست.
.IP "\fB\-recip\fR \fIfile\fR" 4
.IX Item "-recip file"
هنگام رمزگشایی پیام، این گزینه گواهی گیرنده را مشخص می‌کند. این گواهی باید با یکی از گیرندگان پیام مطابقت داشته باشد.
.Sp
هنگام رمزگذاری پیام، این گزینه می‌تواند چندین بار برای مشخص کردن هر گیرنده استفاده شود. اگر پارامترهای سفارشی‌شده نیاز باشد (برای مثال جهت تعیین RSA\-OAEP)، این قالب \fBباید\fR استفاده شود.
.Sp
تنها گواهی‌های دارای کلیدهای RSA، دیفی-هلمن (Diffie\-Hellman) یا EC توسط این گزینه پشتیبانی می‌شوند.
.IP "\fIrecipient\-cert\fR ..." 4
.IX Item "recipient-cert ..."
این یک روش جایگزین برای استفاده از گزینه \fB\-recip\fR هنگام رمزگذاری پیام است. می‌توان نام یک یا چند فایل گواهی را مشخص کرد.
.IP \fB\-\fR\f(BIcipher\fR 4
.IX Item "-cipher"
الگوریتم رمزگذاری مورد استفاده. برای مثال، AES (۲۵۶ بیتی) \- \fB\-aes256\fR یا DES سه‌گانه (۱۶۸ بیتی) \- \fB\-des3\fR. هر نام الگوریتم استانداردی (همان‌طور که توسط تابع \&\fBEVP_get_cipherbyname()\fR استفاده می‌شود) می‌تواند همراه با یک خط تیره در ابتدا استفاده شود، مانند \fB\-aes\-128\-cbc\fR. برای فهرستی از الگوریتم‌های رمز پشتیبانی‌شده توسط نسخه OpenSSL خود به \fBopenssl\-enc\fR\|(1) مراجعه کنید.
.Sp
در حال حاضر، انواع AES با حالت GCM تنها الگوریتم‌های AEAD پشتیبانی‌شده هستند.
.Sp
در صورت عدم تعیین، AES\-256\-CBC به عنوان پیش‌فرض استفاده می‌شود. فقط با دستورات \fB\-encrypt\fR و \&\fB\-EncryptedData_encrypt\fR استفاده می‌شود.
.IP "\fB\-kekcipher\fR \fIcipher\fR" 4
.IX Item "-kekcipher cipher"
الگوریتم رمز برای استفاده در رمزگذاری کلید مبتنی بر گذرواژه. این گزینه زمانی کاربرد دارد که گذرواژه‌ای برای اطلاعات گیرنده گذرواژه با استفاده از \&\fB\-pwri_password\fR ارائه شده باشد و یک الگوریتم رمزگذاری AEAD انتخاب شده باشد. در چنین مواردی، باید یک الگوریتم غیر-AEAD با استفاده از این گزینه مشخص شود.
.IP "\fB\-wrap\fR \fIcipher\fR" 4
.IX Item "-wrap cipher"
الگوریتم رمز برای استفاده در بسته‌بندی کلید (Key Wrap) هنگام رمزگذاری پیام با استفاده از توافق کلید برای انتقال کلید. الگوریتم مشخص‌شده باید برای بسته‌بندی کلید مناسب باشد.
.IP "\fB\-aes128\-wrap\fR, \fB\-aes192\-wrap\fR, \fB\-aes256\-wrap\fR, \fB\-des3\-wrap\fR" 4
.IX Item "-aes128-wrap, -aes192-wrap, -aes256-wrap, -des3-wrap"
به ترتیب از AES128، AES192، AES256 یا 3DES\-EDE برای بسته‌بندی کلید استفاده می‌کند. بسته به گزینه‌های ساخت OpenSSL مورد استفاده، ممکن است \fB\-des3\-wrap\fR پشتیبانی نشود.
.IP \fB\-debug_decrypt\fR 4
.IX Item "-debug_decrypt"
این گزینه پرچم \fBCMS_DEBUG_DECRYPT\fR را فعال می‌کند. این گزینه باید با احتیاط استفاده شود: به بخش نکات در ادامه مراجعه کنید.
.IP \fB\-recip_kdf\fR 4
.IX Item "-recip_kdf"
این گزینه KDF مورد استفاده برای تولید کلید رمزگذاری کلید را در نوع \&\fBKEMRecipientInfo\fR تنظیم می‌کند. هر KDF که پارامترهای \fBOSSL_KDF_PARAM_KEY\fR و \&\fBOSSL_KDF_PARAM_INFO\fR را دریافت کند و از جهات دیگر به‌طور کامل با نام یا OID خود تعریف شده باشد، می‌تواند استفاده شود؛ برای مثال \fBHKDF\-SHA256\fR.
.IP \fB\-recip_ukm\fR 4
.IX Item "-recip_ukm"
این گزینه ماده کلیدزنی اختیاری کاربر (UKM) نوع \fBKEMRecipientInfo\fR را در قالب شانزده‌شانزدهی تنظیم می‌کند. مقدار UKM به همراه سایر اطلاعات در پارامتر \&\fBOSSL_KDF_PARAM_INFO\fR مربوط به KDF نوع \fBKEMRecipientInfo\fR کدگذاری خواهد شد.
.SS "گزینه‌های امضا (Signing options)"
.IX Subsection "Signing options"
.IP "\fB\-md\fR \fIdigest\fR" 4
.IX Item "-md digest"
الگوریتم خلاصه‌سازی (digest) برای استفاده هنگام امضا یا امضای مجدد. اگر مشخص نشود، الگوریتم خلاصه‌سازی پیش‌فرض برای کلید امضا استفاده خواهد شد (معمولاً SHA\-256).
.IP "\fB\-signer\fR \fIfile\fR" 4
.IX Item "-signer file"
یک گواهی امضاکننده. هنگام امضا یا امضای مجدد یک پیام، در صورتی که به بیش از یک امضاکننده نیاز باشد، این گزینه می‌تواند چندین بار استفاده شود.
.IP "\fB\-certfile\fR \fIfile\fR" 4
.IX Item "-certfile file"
امکان مشخص کردن گواهی‌های اضافی را فراهم می‌کند. هنگام امضا، این گواهی‌ها در پیام گنجانده می‌شوند. هنگام اعتبارسنجی، این گواهی‌ها برای یافتن گواهی‌های امضاکننده جستجو شده و برای ساخت زنجیره گواهی استفاده می‌شوند.
.Sp
ورودی می‌تواند در قالب PEM، DER یا PKCS#12 باشد.
.IP \fB\-cades\fR 4
.IX Item "-cades"
هنگامی که همراه با گزینه
.B \-sign
استفاده شود، یک صفت امضاشدهٔ ESS signingCertificate یا ESS signingCertificateV2 را به SignerInfo اضافه می‌کند تا امضا با الزامات یک امضای الکترونیکی پایه CAdES (CAdES\-BES) مطابقت داشته باشد.
.IP \fB\-nodetach\fR 4
.IX Item "-nodetach"
هنگام امضای یک پیام از امضای مات (opaque signing) استفاده می‌کند؛ این شکل در برابر تغییر شکل توسط رله‌های ایمیل مقاوم‌تر است اما توسط برنامه‌های ایمیلی که از S/MIME پشتیبانی نمی‌کنند قابل خواندن نیست. بدون این گزینه، امضای متن‌باز (cleartext) با نوع محتوای چندبخشی multipart/signed استفاده می‌شود.
.IP \fB\-nocerts\fR 4
.IX Item "-nocerts"
هنگام امضای یک پیام، معمولاً گواهی امضاکننده در پیام گنجانده می‌شود؛ با این گزینه گواهی حذف می‌گردد. این کار حجم پیام امضاشده را کاهش می‌دهد، اما اعتبارسنج باید رونوشتی از گواهی امضاکننده را به صورت محلی در دسترس داشته باشد (به عنوان مثال با استفاده از گزینه
.B \-certfile
ارائه شود).
.IP \fB\-noattr\fR 4
.IX Item "-noattr"
به طور معمول هنگام امضای یک پیام، مجموعه‌ای از صفت‌ها گنجانده می‌شوند که شامل زمان امضا و الگوریتم‌های متقارن پشتیبانی‌شده است. با این گزینه آن‌ها گنجانده نمی‌شوند.
.IP \fB\-nosmimecap\fR 4
.IX Item "-nosmimecap"
فهرست الگوریتم‌های پشتیبانی‌شده را از صفت‌های امضاشده حذف می‌کند، اما سایر گزینه‌ها مانند نوع محتوا و (به طور اختیاری) زمان امضا همچنان گنجانده می‌شوند.
.IP \fB\-no_signing_time\fR 4
.IX Item "-no_signing_time"
زمان امضا را از صفت‌های امضاشده حذف می‌کند؛ سایر گزینه‌ها مانند نوع محتوا همچنان باقی می‌مانند.
.IP "\fB\-receipt_request_all\fR, \fB\-receipt_request_first\fR" 4
.IX Item "-receipt_request_all, -receipt_request_first"
برای گزینه
.BR \-sign ،
یک درخواست رسید امضاشده را می‌گنجاند. مشخص می‌کند که درخواست‌ها باید توسط همه دریافت‌کنندگان یا دریافت‌کنندگان سطح اول (کسانی که پیام مستقیماً برای آن‌ها ارسال شده و نه از طریق لیست پستی) ارائه شوند. در صورتی که
.B \-receipt_request_from
مشخص شده باشد، نادیده گرفته می‌شود.
.IP "\fB\-receipt_request_from\fR \fIemailaddress\fR" 4
.IX Item "-receipt_request_from emailaddress"
برای گزینه
.BR \-sign ،
یک درخواست رسید امضاشده را می‌گنجاند. یک نشانی ایمیل صریح اضافه می‌کند که رسیدها باید به آن ارسال شوند.
.IP "\fB\-receipt_request_to\fR \fIemailaddress\fR" 4
.IX Item "-receipt_request_to emailaddress"
یک نشانی ایمیل صریح اضافه می‌کند که رسیدهای امضاشده باید به آن ارسال شوند. اگر یک رسید امضاشده درخواست شده باشد، این گزینه
.B باید
ارائه شود.
.SS "گزینه‌های اعتبارسنجی و تأیید (Verification options)"
.IX Subsection "Verification options"
.IP "\fB\-signer\fR \fIfile\fR" 4
.IX Item "-signer file"
اگر پیامی با موفقیت اعتبارسنجی شده باشد، در صورت موفقیت‌آمیز بودن اعتبارسنجی، گواهی(های) امضاکننده در این فایل نوشته خواهد شد.
.IP "\fB\-content\fR \fIfilename\fR" 4
.IX Item "-content filename"
فایلی حاوی محتوای جداشده (detached content) را برای عملیاتی که ورودی S/MIME دریافت می‌کنند (مانند دستور
.BR \-verify )
مشخص می‌کند. این گزینه تنها زمانی قابل استفاده است که ساختار CMS از ساختار امضای جداشده استفاده کند که در آن محتوا گنجانده نشده است. اگر قالب ورودی S/MIME باشد و از نوع محتوای MIME به صورت multipart/signed استفاده کند، این گزینه هر محتوایی را بازنویسی خواهد کرد.
.IP \fB\-no_content_verify\fR 4
.IX Item "-no_content_verify"
امضاهای محتوای امضاشده را اعتبارسنجی نمی‌کند.
.IP \fB\-no_attr_verify\fR 4
.IX Item "-no_attr_verify"
امضاهای صفت‌های امضاشده را اعتبارسنجی نمی‌کند.
.IP \fB\-nosigs\fR 4
.IX Item "-nosigs"
امضای پیام را اعتبارسنجی نمی‌کند.
.IP \fB\-noverify\fR 4
.IX Item "-noverify"
گواهی امضاکننده یک پیام امضاشده را اعتبارسنجی نمی‌کند.
.IP \fB\-nointern\fR 4
.IX Item "-nointern"
هنگام اعتبارسنجی یک پیام، معمولاً گواهی‌های موجود در پیام (در صورت وجود) برای یافتن گواهی امضاکننده جستجو می‌شوند. با این گزینه، تنها گواهی‌های مشخص‌شده در گزینه
.B \-certfile
استفاده می‌شوند. با این حال، گواهی‌های ارائه‌شده همچنان می‌توانند به عنوان CAهای نامعتمد استفاده شوند.
.IP \fB\-cades\fR 4
.IX Item "-cades"
هنگام استفاده همراه با
.BR \-verify ،
خلاصه گواهی امضاکننده را الزامی کرده و بررسی می‌کند. برای جزئیات بیشتر به بخش «نکات (NOTES)» مراجعه کنید.
.IP \fB\-verify_retcode\fR 4
.IX Item "-verify_retcode"
در صورت شکست اعتبارسنجی، با مقدار غیرصفر خارج می‌شود.
.IP "\fB\-CAfile\fR \fIfile\fR, \fB\-no\-CAfile\fR, \fB\-CApath\fR \fIdir\fR, \fB\-no\-CApath\fR, \fB\-CAstore\fR \fIuri\fR, \fB\-no\-CAstore\fR" 4
.IX Item "-CAfile file, -no-CAfile, -CApath dir, -no-CApath, -CAstore uri, -no-CAstore"
برای جزئیات بیشتر به "گزینه‌های گواهی معتمد (Trusted Certificate Options)" در
.BR openssl\-verification\-options \|(1)
مراجعه کنید.
.SS "گزینه‌های خروجی (Output options)"
.IX Subsection "Output options"
.IP \fB\-keyid\fR 4
.IX Item "-keyid"
استفاده از شناسه کلید موضوع (subject key identifier) برای شناسایی گواهی‌ها به جای نام صادرکننده و شماره سریال. گواهی ارائه‌شده
.B باید
شامل یک افزونه شناسه کلید موضوع باشد. توسط گزینه‌های
.B \-sign
و
.B \-encrypt
پشتیبانی می‌شود.
.IP "\fB\-econtent_type\fR \fItype\fR" 4
.IX Item "-econtent_type type"
تنظیم نوع محتوای کپسوله‌شده به
.IR type .
در صورت عدم ارائه، نوع
.B Data
استفاده می‌شود. آرگومان
.I type
می‌تواند هر نام معتبر OID به قالب متنی یا عددی باشد.
.IP \fB\-text\fR 4
.IX Item "-text"
این گزینه در صورت رمزگذاری یا امضا کردن، هدرهای MIME متن ساده (text/plain) را به پیام ارائه‌شده اضافه می‌کند. در صورت رمزگشایی یا اعتبارسنجی، هدرهای متنی را حذف می‌کند: اگر پیام رمزگشایی‌شده یا اعتبارسنجی‌شده از نوع MIME متنی text/plain نباشد، خطایی رخ می‌دهد.
.IP "\fB\-certsout\fR \fIfile\fR" 4
.IX Item "-certsout file"
هر گواهی موجود در پیام ورودی در
.I file
نوشته می‌شود.
.IP "\fB\-to\fR, \fB\-from\fR, \fB\-subject\fR" 4
.IX Item "-to, -from, -subject"
هدرهای مرتبط با ایمیل. این هدرها در خارج از بخش امضاشده پیام قرار می‌گیرند، بنابراین ممکن است به صورت دستی اضافه شوند. در صورت امضا، بسیاری از کلاینت‌های ایمیل S/MIME بررسی می‌کنند که نشانی ایمیل گواهی امضاکننده با نشانی مشخص‌شده در هدر From: مطابقت داشته باشد.
.SS "گزینه‌های چاپ (Printing options)"
.IX Subsection "Printing options"
.IP \fB\-noout\fR 4
.IX Item "-noout"
برای عملیات
.BR \-cmsout ،
از خروجی دادن ساختار پارس‌شده CMS خودداری می‌کند. این مورد زمانی مفید است که فقط صحت ساختار دستوری (syntax) ساختار CMS بررسی می‌شود.
.IP \fB\-print\fR 4
.IX Item "-print"
برای عملیات
.BR \-cmsout ،
تمام فیلدهای ساختار CMS را چاپ می‌کند. این گزینه مستلزم
.B \-noout
است و عمدتاً برای اهداف آزمایشی کاربرد دارد.
.IP "\fB\-nameopt\fR \fIoption\fR" 4
.IX Item "-nameopt option"
برای عملیات
.B \-cmsout
هنگامی که گزینه
.B \-print
در حال استفاده است، گزینه‌های چاپ را برای فیلدهای رشته‌ای مشخص می‌کند. برای بیشتر موارد مقدار
.B utf8
منطقی است. برای جزئیات به
.BR openssl\-namedisplay\-options (1)
مراجعه کنید.
.IP \fB\-receipt_request_print\fR 4
.IX Item "-receipt_request_print"
برای عملیات
.BR \-verify ،
محتوای هرگونه درخواست رسید امضاشده (signed receipt requests) را چاپ می‌کند.
.SS "گزینه‌های اعتبارسنجی (Validation options)"
.IX Subsection "Validation options"
.IP "\fB\-allow_proxy_certs\fR, \fB\-attime\fR, \fB\-no_check_time\fR, \fB\-check_ss_sig\fR, \fB\-crl_check\fR, \fB\-crl_check_all\fR, \fB\-explicit_policy\fR, \fB\-extended_crl\fR, \fB\-ignore_critical\fR, \fB\-inhibit_any\fR, \fB\-inhibit_map\fR, \fB\-no_alt_chains\fR, \fB\-partial_chain\fR, \fB\-policy\fR, \fB\-policy_check\fR, \fB\-policy_print\fR, \fB\-purpose\fR, \fB\-suiteB_128\fR, \fB\-suiteB_128_only\fR, \fB\-suiteB_192\fR, \fB\-trusted_first\fR, \fB\-use_deltas\fR, \fB\-auth_level\fR, \fB\-verify_depth\fR, \fB\-verify_email\fR, \fB\-verify_hostname\fR, \fB\-verify_ip\fR, \fB\-verify_name\fR, \fB\-x509_strict\fR \fB\-issuer_checks\fR" 4
.IX Item "-allow_proxy_certs, -attime, -no_check_time, -check_ss_sig, -crl_check, -crl_check_all, -explicit_policy, -extended_crl, -ignore_critical, -inhibit_any, -inhibit_map, -no_alt_chains, -partial_chain, -policy, -policy_check, -policy_print, -purpose, -suiteB_128, -suiteB_128_only, -suiteB_192, -trusted_first, -use_deltas, -auth_level, -verify_depth, -verify_email, -verify_hostname, -verify_ip, -verify_name, -x509_strict -issuer_checks"
تنظیم گزینه‌های گوناگون برای اعتبارسنجی زنجیره گواهی.
برای جزئیات بیشتر به بخش «گزینه‌های اعتبارسنجی» در
.BR openssl\-verification\-options (1)
مراجعه کنید.
.Sp
هرگونه خطای اعتبارسنجی موجب خروج دستور می‌شود.
.SH "نکات (NOTES)"
.IX Header "NOTES"
پیام MIME باید بدون هیچ خط خالی میان هدرها و خروجی ارسال شود. برخی برنامه‌های نامه‌رسان به طور خودکار یک خط خالی اضافه می‌کنند. هدایت مستقیم نامه با پایپ به sendmail یکی از روش‌های دستیابی به قالب صحیح است.
.PP
پیام ارائه‌شده برای امضا یا رمزگذاری باید شامل هدرهای MIME ضروری باشد، در غیر این صورت بسیاری از کلاینت‌های S/MIME آن را به درستی (یا اصلاً) نمایش نخواهند داد. می‌توانید از گزینه
.B \-text
برای افزودن خودکار هدرهای متن ساده استفاده کنید.
.PP
پیام «امضا و رمزگذاری‌شده» پیامی است که در آن ابتدا یک پیام امضا شده و سپس رمزگذاری می‌شود. این پیام می‌تواند با رمزگذاری پیامی که از قبل امضا شده است تولید شود: بخش مثال‌ها را ببینید.
.PP
این نسخه از برنامه تنها اجازه یک امضاکننده در هر پیام را می‌دهد، اما امضاکنندگان متعددی را در پیام‌های دریافتی تأیید می‌کند. برخی کلاینت‌های S/MIME در صورت وجود چندین امضاکننده در پیام دچار مشکل می‌شوند. می‌توان پیام‌ها را «به صورت موازی» با امضا کردن پیامی که از قبل امضا شده است، امضا کرد.
.PP
گزینه‌های
.B \-encrypt
و
.B \-decrypt
کاربرد متداول در کلاینت‌های S/MIME را منعکس می‌کنند. به بیان دقیق، این گزینه‌ها داده‌های محصورشده (enveloped data) در CMS را پردازش می‌کنند؛ داده‌های رمزگذاری‌شده CMS برای اهداف دیگری استفاده می‌شوند.
.PP
گزینه
.B \-resign
هنگام افزودن یک امضاکننده جدید از خلاصه پیام موجود استفاده می‌کند. این بدان معناست که ویژگی‌ها باید حداقل در یک امضاکننده موجود که از همان خلاصه پیام استفاده می‌کند وجود داشته باشند، در غیر این صورت این عملیات شکست خواهد خورد.
.PP
گزینه‌های
.B \-stream
و
.B \-indef
پشتیبانی از ورودی/خروجی جریانی (streaming I/O) را فعال می‌کنند. در نتیجه، کدگذاری BER با استفاده از کدگذاری ساخت‌یافته با طول نامحدود خواهد بود و دیگر DER نیست. حالت جریانی برای عملیات
.B \-encrypt
و در صورتی که محتوا جداشده نباشد، برای عملیات
.B \-sign
پشتیبانی می‌شود.
.PP
حالت جریانی همواره برای عملیات
.B \-sign
با داده‌های جداشده (detached) استفاده می‌شود، اما از آنجا که محتوا دیگر بخشی از ساختار CMS نیست، کدگذاری به صورت DER باقی می‌ماند.
.PP
اگر گزینه
.B \-decrypt
بدون گواهی گیرنده استفاده شود، تلاشی برای یافتن گیرنده با آزمودن هر گیرنده احتمالی به نوبت با استفاده از کلید خصوصی ارائه‌شده صورت می‌گیرد. برای خنثی کردن حمله MMA (حمله بلیشن‌باخر به پدینگ PKCS #1 v1.5 RSA)، همه گیرندگان صرف‌نظر از موفقیت یا عدم موفقیت بررسی می‌شوند و اگر هیچ گیرنده‌ای مطابقت نداشته باشد، پیام با یک کلید تصادفی «رمزگشایی» می‌شود که معمولاً داده‌های نامفهوم خروجی می‌دهد. گزینه
.B \-debug_decrypt
می‌تواند برای غیرفعال کردن محافظت در برابر حمله MMA و برگرداندن خطا در صورت یافت نشدن گیرنده استفاده شود؛ این گزینه باید با احتیاط به کار رود. برای توضیحات کامل‌تر،
.BR CMS_decrypt \|(3)
را ببینید.
.SH "امضای الکترونیکی پایه CADES (CADES BASIC ELECTRONIC SIGNATURE - CADES\-BES)"
.IX Header "CADES BASIC ELECTRONIC SIGNATURE (CADES-BES)"
یک امضای الکترونیکی پایه CAdES (CAdES\-BES)، همان‌طور که در استاندارد اروپایی ETSI EN 319 122\-1 V1.1.1 تعریف شده است، شامل موارد زیر است:
.IP \(bu 4
داده‌های امضاشده کاربر طبق تعریف در CMS (RFC 3852)؛
.IP \(bu 4
نوع محتوای (Content\-type) مقدار EncapsulatedContentInfo که در حال امضا است؛
.IP \(bu 4
خلاصه پیام (Message\-digest) مربوط به رشته بایت eContent درون encapContentInfo که در حال امضا است؛
.IP \(bu 4
یک ویژگی ESS signingCertificate یا ESS signingCertificateV2، همان‌طور که در خدمات امنیتی پیشرفته (ESS)، RFC 2634 و RFC 5035 تعریف شده است. یک ویژگی ESS signingCertificate تنها اجازه استفاده از SHA\-1 را به عنوان الگوریتم خلاصه می‌دهد. یک ویژگی ESS signingCertificateV2 امکان استفاده از هر الگوریتم خلاصه‌سازی را فراهم می‌کند.
.IP \(bu 4
مقدار امضای دیجیتال محاسبه‌شده روی داده‌های کاربر و، در صورت وجود، روی ویژگی‌های امضاشده.
.Sp
توجه داشته باشید که گزینه
.B \-cades
بر عملیات‌های
.B \-sign
یا
.B \-verify
اعمال می‌شود. با این گزینه، عملیات
.B \-verify
همچنین نیازمند حضور ویژگی signingCertificate است و بررسی می‌کند که شناسه‌های داده‌شده با زنجیره اعتماد اعتبارسنجی ایجادشده در طول فرایند تأیید مطابقت داشته باشند.
.SH "کدهای خروج (EXIT CODES)"
.IX Header "EXIT CODES"
.IP 0 4
عملیات با موفقیت کامل انجام شد.
.IP 1 4
.IX Item "1"
خطایی در تجزیه گزینه‌های دستور رخ داد.
.IP 2 4
.IX Item "2"
یکی از فایل‌های ورودی قابل خواندن نبود.
.IP 3 4
.IX Item "3"
خطایی هنگام ساخت فایل CMS یا خواندن پیام MIME رخ داد.
.IP 4 4
.IX Item "4"
خطایی هنگام رمزگشایی یا تأیید پیام رخ داد.
.IP 5 4
.IX Item "5"
پیام به درستی تأیید شد اما در نوشتن گواهی‌های امضاکنندگان خطایی رخ داد.
.SH "سازگاری با قالب PKCS#7 (COMPATIBILITY WITH PKCS#7 FORMAT)"
.IX Header "COMPATIBILITY WITH PKCS#7 FORMAT"
دستور
.BR openssl\-smime \|(1)
تنها می‌تواند قالب قدیمی‌تر
.B PKCS#7
را پردازش کند.
.B openssl cms
از قالب ساختار نحو پیام رمزنگاری (Cryptographic Message Syntax) پشتیبانی می‌کند. استفاده از برخی قابلیت‌ها منجر به تولید پیام‌هایی خواهد شد که توسط برنامه‌هایی که فقط از قالب قدیمی‌تر پشتیبانی می‌کنند، قابل پردازش نیستند. این موارد در زیر به تفصیل آمده است.
.PP
استفاده از گزینه
.B \-keyid
همراه با
.B \-sign
یا
.BR \-encrypt .
.PP
گزینه
.B \-outform
.I PEM
از هدرهای متفاوتی استفاده می‌کند.
.PP
گزینه
.BR \-compress .
.PP
گزینه
.B \-secretkey
هنگامی که همراه با
.B \-encrypt
استفاده شود.
.PP
استفاده از PSS همراه با
.BR \-sign .
.PP
استفاده از کلیدهای OAEP یا کلیدهای غیر RSA همراه با
.BR \-encrypt .
.PP
علاوه بر این، انواع
.B \-EncryptedData_encrypt
و
.B \-data_create
نمی‌توانند توسط دستور قدیمی‌تر
.BR openssl\-smime \|(1)
پردازش شوند.
.SH "مثال‌ها (EXAMPLES)"
.IX Header "EXAMPLES"
ایجاد یک پیام امضاشده به صورت متن آشکار (cleartext):
.PP
.Vb 2
\& openssl cms \-sign \-in message.txt \-text \-out mail.msg \e
\&        \-signer mycert.pem
.Ve
.PP
ایجاد یک پیام امضاشده مات (opaque):
.PP
.Vb 2
\& openssl cms \-sign \-in message.txt \-text \-out mail.msg \-nodetach \e
\&        \-signer mycert.pem
.Ve
.PP
ایجاد یک پیام امضاشده، همراه با چند گواهی اضافی و خواندن کلید خصوصی از فایلی دیگر:
.PP
.Vb 2
\& openssl cms \-sign \-in in.txt \-text \-out mail.msg \e
\&        \-signer mycert.pem \-inkey mykey.pem \-certfile mycerts.pem
.Ve
.PP
ایجاد یک پیام امضاشده با دو امضاکننده و استفاده از شناسه کلید:
.PP
.Vb 2
\& openssl cms \-sign \-in message.txt \-text \-out mail.msg \e
\&        \-signer mycert.pem \-signer othercert.pem \-keyid
.Ve
.PP
ارسال مستقیم یک پیام امضاشده در یونیکس به sendmail، همراه با سرایندها:
.PP
.Vb 3
\& openssl cms \-sign \-in in.txt \-text \-signer mycert.pem \e
\&        \-from steve@openssl.org \-to someone@somewhere \e
\&        \-subject "Signed message" | sendmail someone@somewhere
.Ve
.PP
اعتبارسنجی یک پیام و استخراج گواهی امضاکننده در صورت موفقیت:
.PP
.Vb 1
\& openssl cms \-verify \-in mail.msg \-signer user.pem \-out signedtext.txt
.Ve
.PP
ارسال ایمیل رمزگذاری‌شده با استفاده از Triple DES:
.PP
.Vb 3
\& openssl cms \-encrypt \-in in.txt \-from steve@openssl.org \e
\&        \-to someone@somewhere \-subject "Encrypted message" \e
\&        \-des3 user.pem \-out mail.msg
.Ve
.PP
امضا و رمزگذاری ایمیل:
.PP
.Vb 4
\& openssl cms \-sign \-in ml.txt \-signer my.pem \-text \e
\&        | openssl cms \-encrypt \-out mail.msg \e
\&        \-from steve@openssl.org \-to someone@somewhere \e
\&        \-subject "Signed and Encrypted message" \-des3 user.pem
.Ve
.PP
نکته: دستور رمزگذاری شامل گزینه \fB\-text\fR نیست زیرا پیامی که رمزگذاری می‌شود از قبل دارای سرایندهای MIME است.
.PP
رمزگشایی یک پیام:
.PP
.Vb 1
\& openssl cms \-decrypt \-in mail.msg \-recip mycert.pem \-inkey key.pem
.Ve
.PP
خروجی حاصل از امضای فرم در Netscape یک ساختار PKCS#7 با قالب امضای جداشده (detached) است. می‌توانید با شکستن خطوط ساختار کدگذاری‌شده با base64 و محصور کردن آن با عبارت‌های زیر، از این برنامه برای اعتبارسنجی امضا استفاده کنید:
.PP
.Vb 2
\& \-\-\-\-\-BEGIN PKCS7\-\-\-\-\-
\& \-\-\-\-\-END PKCS7\-\-\-\-\-
.Ve
.PP
و با استفاده از دستور:
.PP
.Vb 1
\& openssl cms \-verify \-inform PEM \-in signature.pem \-content content.txt
.Ve
.PP
همچنین می‌توانید داده‌های امضا را از base64 رمزگشایی کرده و از این دستور استفاده نمایید:
.PP
.Vb 1
\& openssl cms \-verify \-inform DER \-in signature.der \-content content.txt
.Ve
.PP
ایجاد یک پیام رمزگذاری‌شده با استفاده از Camellia با کلید ۱۲۸ بیتی:
.PP
.Vb 1
\& openssl cms \-encrypt \-in plain.txt \-camellia128 \-out mail.msg cert.pem
.Ve
.PP
افزودن یک امضاکننده به یک پیام موجود:
.PP
.Vb 1
\& openssl cms \-resign \-in mail.msg \-signer newsign.pem \-out mail2.msg
.Ve
.PP
امضای یک پیام با استفاده از RSA\-PSS:
.PP
.Vb 2
\& openssl cms \-sign \-in message.txt \-text \-out mail.msg \e
\&        \-signer mycert.pem \-keyopt rsa_padding_mode:pss
.Ve
.PP
ایجاد یک پیام رمزگذاری‌شده با استفاده از RSA\-OAEP:
.PP
.Vb 2
\& openssl cms \-encrypt \-in plain.txt \-out mail.msg \e
\&        \-recip cert.pem \-keyopt rsa_padding_mode:oaep
.Ve
.PP
استفاده از SHA256 KDF همراه با یک گواهی ECDH:
.PP
.Vb 2
\& openssl cms \-encrypt \-in plain.txt \-out mail.msg \e
\&        \-recip ecdhcert.pem \-keyopt ecdh_kdf_md:sha256
.Ve
.PP
چاپ داده‌های دودویی امضاشده CMS در قالبی خوانا برای انسان:
.PP
.Vb 1
\& openssl cms \-in signed.cms \-binary \-inform DER \-cmsout \-print
.Ve
.SH "باگ‌ها (BUGS)"
.IX Header "BUGS"
تجزیه‌کننده MIME چندان هوشمند نیست: به نظر می‌رسد بیشتر پیام‌های ارسال‌شده به آن را پردازش می‌کند، اما ممکن است روی برخی دیگر با خطا مواجه شود.
.PP
کد برنامه در حال حاضر تنها گواهی امضاکننده را در یک فایل می‌نویسد: اگر امضاکننده دارای یک گواهی رمزگذاری جداگانه باشد، باید آن را به صورت دستی استخراج کرد. باید سازوکاری ابتکاری وجود داشته باشد که گواهی رمزگذاری صحیح را تشخیص دهد.
.PP
در حالت ایده‌آل باید پایگاه‌داده‌ای از گواهی‌ها برای هر نشانی ایمیل نگهداری شود.
.PP
کد برنامه در حال حاضر به الگوریتم‌های رمزگذاری متقارن مجاز که در صفت امضاشده SMIMECapabilities ارائه شده‌اند توجهی نمی‌کند. این بدان معناست که کاربر باید الگوریتم رمزگذاری صحیح را به صورت دستی وارد نماید. باید فهرست رمزهای مجاز در یک پایگاه‌داده ذخیره شود و تنها از آن‌ها استفاده گردد.
.PP
هیچ‌گونه بررسی ابطالی روی گواهی امضاکننده انجام نمی‌شود.
.SH "همچنین ببینید (SEE ALSO)"
.IX Header "SEE ALSO"
\&\fBossl_store\-file\fR\|(7)
.SH "تاریخچه (HISTORY)"
.IX Header "HISTORY"
رمز پیش‌فرض رمزگذاری در OpenSSL 3.5 از 3DES به AES\-256 تغییر یافت.
.PP
امکان استفاده از چندین گزینه \fB\-signer\fR و دستور \fB\-resign\fR برای نخستین بار در OpenSSL 1.0.0 اضافه شدند.
.PP
گزینه \fB\-keyopt\fR در OpenSSL 1.0.2 اضافه شد.
.PP
پشتیبانی از RSA\-OAEP و RSA\-PSS در OpenSSL 1.0.2 اضافه شد.
.PP
امکان استفاده از کلیدهای غیر RSA همراه با \fB\-encrypt\fR و \fB\-decrypt\fR در OpenSSL 1.0.2 اضافه شد.
.PP
گزینه \fB\-no_alt_chains\fR در OpenSSL 1.0.2b اضافه شد.
.PP
گزینه \fB\-nameopt\fR در OpenSSL 3.0.0 اضافه شد.
.PP
گزینه \fB\-engine\fR در OpenSSL 3.0 منسوخ شد.
.PP
گزینه \fB\-digest\fR در OpenSSL 3.2 اضافه شد.
.PP
گزینه‌های \fB\-recip_kdf\fR و \fB\-recip_ukm\fR در OpenSSL 3.6 اضافه شدند.
.SH "حق نشر (COPYRIGHT)"
.IX Header "COPYRIGHT"
حق نشر ۲۰۰۸-۲۰۲۶ متعلق به نویسندگان پروژه OpenSSL است. کلیه حقوق محفوظ است.
.PP
تحت مجوز آپاچی، نسخه ۲.۰ ("مجوز") ارائه شده است. شما نمی‌توانید از این فایل استفاده کنید مگر در انطباق با این مجوز. می‌توانید نسخه‌ای از مجوز را در فایل LICENSE در توزیع مبدأ یا در نشانی زیر بیابید:
<https://www.openssl.org/source/license.html>