OPENSSL(1ssl) OpenSSL OPENSSL(1ssl) NUME openssl - programul de linie de comanda OpenSSL SINOPSIS openssl comanda [ opiuni ... ] [ parametri ... ] openssl no-XXX [ opiuni ] openssl -help | -version DESCRIERE OpenSSL este un set de instrumente criptografice care implementeaza protocoalele de reea Secure Sockets Layer (SSL, stratul de socluri securizate) i Transport Layer Security (TLS, stratul de socluri securizate) i standardele criptografice aferente cerute de acestea. Programul openssl este un program de linie de comanda pentru utilizarea diferitelor funcii de criptografie din biblioteca crypto a OpenSSL din shell. Acesta poate fi utilizat pentru o Crearea i gestionarea cheilor private, a cheilor publice i a parametrilor o Operaii criptografice cu chei publice o Crearea de certificate X.509, CSR-uri i CRL-uri o Calcularea sumelor de control ale mesajelor i a codurilor de autentificare a mesajelor o Criptare i decriptare cu cifruri o Teste pentru client i server SSL/TLS o Gestionarea mesajelor de pota electronica semnate sau criptate S/MIME o Solicitari, generare i verificare a marcajelor temporale REZUMATUL COMENZII Programul openssl ofera o mare varietate de comenzi (comanda in seciunea ,,SINOPSIS" de mai sus). Fiecare comanda poate avea multe opiuni i parametri de argument, prezentai mai sus ca opiuni i parametri. Sunt disponibile documentaie detaliata i cazuri de utilizare pentru majoritatea subcomenzilor standard (de exemplu, openssl-x509(1)). Subcomanda openssl-list(1) poate fi utilizata pentru a lista subcomenzile. Comanda no-XXX testeaza daca o comanda cu numele specificat este disponibila. Daca nu exista nicio comanda cu numele XXX, aceasta returneaza 0 (succes) i imprima no-XXX; in caz contrar, returneaza 1 i imprima XXX. In ambele cazuri, ieirea merge la stdout i nimic nu este imprimat la stderr. Argumentele suplimentare din linia de comanda sunt intotdeauna ignorate. Deoarece pentru fiecare cifru exista o comanda cu acelai nume, aceasta ofera o modalitate uoara pentru scripturile shell de a testa disponibilitatea cifrurilor in programul openssl; (no-XXX nu este capabil sa detecteze pseudocomenzi precum quit, list, sau no-XXX insui). Opiuni de configurare Multe comenzi utilizeaza un fiier de configurare extern pentru unele sau toate argumentele lor i au o opiune -config pentru a specifica fiierul respectiv. Numele implicit al fiierului este openssl.cnf in zona de stocare a certificatului implicit, care poate fi determinata din comanda openssl-version(1) utilizand opiunea -d sau -a. Variabila de mediu OPENSSL_CONF poate fi utilizata pentru a specifica o alta locaie a fiierului sau pentru a dezactiva incarcarea unei configuraii (utilizand irul gol). Printre altele, fiierul de configurare poate fi utilizat pentru a incarca module i pentru a specifica parametrii pentru generarea certificatelor i a numerelor aleatorii. Consultai config(5) pentru detalii. Comenzi standard asn1parse Analizeaza o secvena ASN.1. ca Gestionarea autoritaii de certificare (CA, in engleza). ciphers Determinarea descrierii suitelor de cifrare. cms Comanda CMS (,,Cryptographic Message Syntax": sintaxa mesajului criptografic). crl Gestionarea listei de revocare a certificatelor (CRL). crl2pkcs7 Conversia CRL in PKCS#7. dgst Calcularea sumei de control a mesajelor. Calculele MAC sunt inlocuite de openssl-mac(1). dhparam Generarea i gestionarea parametrilor Diffie-Hellman. Inlocuita de openssl-genpkey(1) i openssl-pkeyparam(1). dsa Gestionarea datelor DSA. dsaparam Generarea i gestionarea parametrilor DSA. Inlocuita de openssl-genpkey(1) i openssl-pkeyparam(1). ec Procesarea cheilor EC (,,Elliptic curve": curba eliptica). ecparam Manipularea i generarea parametrilor EC. enc Criptare, decriptare i codificare. engine Informaii despre motor (modul incarcabil) i manipularea acestuia. errstr Conversia numarului de eroare in ir de eroare. fipsinstall Instalarea configuraiei FIPS. gendsa Generarea cheii private DSA din parametri. Inlocuita de openssl-genpkey(1) i openssl-pkey(1). genpkey Generarea cheii private sau a parametrilor. genrsa Generarea cheii private RSA. Inlocuita de openssl-genpkey(1). help Afieaza informaii despre opiunile unei comenzi. info Afieaza diverse informaii incorporate in bibliotecile OpenSSL. kdf Funcii de derivare cheie. list - lista Listeaza algoritmii i caracteristicile. mac Calcularea codului de autentificare a mesajului. nseq Creeaza sau examineaza o secvena de certificat Netscape. ocsp Comanda pentru protocolul de stare a certificatului in reea. passwd Generarea de parole criptate(transformate in sume de control, ,,hashed"). pkcs12 Gestionarea datelor PKCS#12. pkcs7 Gestionarea datelor PKCS#7. pkcs8 Comanda de conversie a cheii private in format PKCS#8. pkey Gestionarea cheilor publice i private. pkeyparam Gestionarea parametrilor algoritmului de cheie publica. pkeyutl Comanda operaiei criptografice de algoritm al cheii publice. prime Calculeaza numere prime. rand Genereaza octei pseudo-aleatorii. rehash Creeaza legaturi simbolice catre fiierele de certificate i CRL denumite prin valorile hash. req Gestionarea cererilor de semnare a certificatelor (CSR) PKCS#10 X.509. rsa Gestionarea cheilor RSA. rsautl Comanda RSA pentru semnare, verificare, criptare i decriptare. Inlocuita de openssl-pkeyutl(1). s_client Aceasta implementeaza un client SSL/TLS generic care poate stabili o conexiune transparenta la un server de la distana prin SSL/TLS. Aceasta este destinata doar scopurilor de testare i ofera doar o funcionalitate rudimentara a interfeei, dar utilizeaza intern aproape toate funcionalitaile bibliotecii OpenSSL ssl. s_server Aceasta implementeaza un server SSL/TLS generic care accepta conexiuni de la clieni de la distana prin SSL/TLS. Acesta este destinat exclusiv testelor i ofera doar funcionalitai rudimentare de interfaa, dar utilizeaza intern aproape toate funcionalitaile bibliotecii OpenSSL ssl. Acesta ofera atat un protocol propriu orientat pe linia de comanda pentru testarea funciilor SSL, cat i o facilitate simpla de raspuns HTTP pentru a emula un server web compatibil cu SSL/TLS. s_time Temporizator conexiune SSL. sess_id Gestionarea datelor sesiunii SSL. smime Procesarea corespondenei S/MIME. speed Masurarea vitezei algoritmului. spkac Comanda de imprimare(afiare) i generare SPKAC. srp Menine fiierul de parole SRP. Aceasta comanda este depreciata. storeutl Comanda pentru listarea i afiarea certificatelor, cheilor, CRL-urilor etc. ts Comanda autoritaii de certificare a marcajului de timp. verify Verificarea certificatelor X.509. Consultai i pagina de manual openssl-verification-options(1). version Informaii despre versiunea OpenSSL. x509 Gestionarea datelor certificatelor X.509. Comenzile de analiza a mesajelor (verificarea sumelor de control ale mesajelor) blake2b512 Calcularea/verificarea sumei de control BLAKE2b-512 blake2s256 Calcularea/verificarea sumei de control BLAKE2s-256 md2 Calcularea/verificarea sumei de control MD2 md4 Calcularea/verificarea sumei de control MD4 md5 Calcularea/verificarea sumei de control MD5 mdc2 Calcularea/verificarea sumei de control MDC2 rmd160 Calcularea/verificarea sumei de control RMD-160 sha1 Calcularea/verificarea sumei de control SHA-1 sha224 Calcularea/verificarea sumei de control SHA-2 224 sha256 Calcularea/verificarea sumei de control SHA-2 256 sha384 Calcularea/verificarea sumei de control SHA-2 384 sha512 Calcularea/verificarea sumei de control SHA-2 512 sha3-224 Calcularea/verificarea sumei de control SHA-3 224 sha3-256 Calcularea/verificarea sumei de control SHA-3 256 sha3-384 Calcularea/verificarea sumei de control SHA-3 384 sha3-512 Calcularea/verificarea sumei de control SHA-3 512 keccak-224 Calcularea/verificarea sumei de control KECCAK 224 keccak-256 Calcularea/verificarea sumei de control KECCAK 256 keccak-384 Calcularea/verificarea sumei de control KECCAK 384 keccak-512 KECCAK 512 shake128 Calcularea/verificarea sumei de control SHA-3 SHAKE128 shake256 Calcularea/verificarea sumei de control SHA-3 SHAKE256 sm3 Calcularea/verificarea sumei de control SM3 Comenzi de criptare, decriptare i codificare Urmatoarele nume-alias ofera acces convenabil la cele mai utilizate codificari i cifruri. In funcie de modul in care a fost configurat i construit OpenSSL, este posibil ca nu toate cifrurile enumerate aici sa fie prezente. Consultai openssl-enc(1) pentru mai multe informaii. aes128, aes-128-cbc, aes-128-cfb, aes-128-ctr, aes-128-ecb, aes-128-ofb Cifrul AES-128 aes192, aes-192-cbc, aes-192-cfb, aes-192-ctr, aes-192-ecb, aes-192-ofb Cifrul AES-192 aes256, aes-256-cbc, aes-256-cfb, aes-256-ctr, aes-256-ecb, aes-256-ofb Cifrul AES-256 aria128, aria-128-cbc, aria-128-cfb, aria-128-ctr, aria-128-ecb, aria-128-ofb Cifrul Aria-128 aria192, aria-192-cbc, aria-192-cfb, aria-192-ctr, aria-192-ecb, aria-192-ofb Cifrul Aria-192 aria256, aria-256-cbc, aria-256-cfb, aria-256-ctr, aria-256-ecb, aria-256-ofb Cifrul Aria-256 base64 Codificarea Base64 bf, bf-cbc, bf-cfb, bf-ecb, bf-ofb Cifrul Blowfish camellia128, camellia-128-cbc, camellia-128-cfb, camellia-128-ctr, camellia-128-ecb, camellia-128-ofb Cifrul Camellia-128 camellia192, camellia-192-cbc, camellia-192-cfb, camellia-192-ctr, camellia-192-ecb, camellia-192-ofb Cifrul Camellia-192 camellia256, camellia-256-cbc, camellia-256-cfb, camellia-256-ctr, camellia-256-ecb, camellia-256-ofb Cifrul Camellia-256 cast, cast-cbc Cifrul CAST cast5-cbc, cast5-cfb, cast5-ecb, cast5-ofb Cifrul CAST5 chacha20 Cifrul Chacha20 des, des-cbc, des-cfb, des-ecb, des-ede, des-ede-cbc, des-ede-cfb, des-ede-ofb, des-ofb Cifrul DES des3, desx, des-ede3, des-ede3-cbc, des-ede3-cfb, des-ede3-ofb Cifrul Triple-DES idea, idea-cbc, idea-cfb, idea-ecb, idea-ofb Cifrul IDEA rc2, rc2-cbc, rc2-cfb, rc2-ecb, rc2-ofb Cifrul RC2 rc4 Cifrul RC4 rc5, rc5-cbc, rc5-cfb, rc5-ecb, rc5-ofb Cifrul RC5 seed, seed-cbc, seed-cfb, seed-ecb, seed-ofb Cifrul SEED sm4, sm4-cbc, sm4-cfb, sm4-ctr, sm4-ecb, sm4-ofb Cifrul SM4 OPIUNI Detaliile privind opiunile disponibile depind de comanda specifica. Aceasta seciune descrie cateva opiuni comune cu un comportament comun. Opiunile programului Aceste opiuni pot fi specificate fara o comanda specificata pentru a obine ajutor sau informaii despre versiune. -help Ofera un rezumat laconic al tuturor opiunilor. Pentru informaii mai detaliate, fiecare comanda accepta o opiune -help. Accepta i --help. -version Ofera un rezumat laconic al versiunii programului openssl. Pentru informaii mai detaliate, consultai openssl-version(1). Accepta i --version. Opiuni comune -help Daca o opiune are un argument, se indica i ,,tipul" de argument. -- Aceasta incheie lista de opiuni. Este util mai ales in cazul in care orice parametru al numelui fiierului incepe cu un semn minus: openssl verify [opiuni...] -- -cert1.pem... Opiuni de format Consultai openssl-format-options(1) pentru pagina de manual. Opiuni fraza de acces Consultai pagina de manual openssl-passphrase-options(1). Opiuni de stare aleatorie Inainte de OpenSSL 1.1.1, era obinuit ca aplicaiile sa stocheze informaii despre starea generatorului de numere aleatorii intr-un fiier care era incarcat la pornire i rescris la ieire. Pe sistemele de operare moderne, acest lucru nu mai este in general necesar, deoarece OpenSSL se va ,,insamana" de la o sursa de entropie de incredere furnizata de sistemul de operare. Aceste opiuni sunt inca acceptate pentru platforme speciale sau circumstane care le-ar putea necesita. In general, este o eroare utilizarea aceluiai fiier de semine de mai multe ori i fiecare utilizare a -rand ar trebui sa fie asociata cu -writerand. -rand fiiere Un fiier sau mai multe fiiere care conin date aleatorii utilizate pentru insamanarea generatorului de numere aleatorii. Se pot specifica mai multe fiiere separate de un caracter dependent de sistemul de operare. Separatorul este ";" pentru MS-Windows, "," pentru OpenVMS i ":" pentru toate celelalte. O alta modalitate de a specifica mai multe fiiere este de a repeta aceasta opiune cu nume de fiiere diferite. -writerand fiier Scrie datele de semine in fiierul specificat la ieire. Acest fiier poate fi utilizat intr-o invocare ulterioara a comenzii. Opiuni verificare certificate Consultai pagina de manual openssl-verification-options(1). Opiuni de format de nume Consultai pagina de manual openssl-namedisplay-options(1). Opiuni versiune TLS Mai multe comenzi utilizeaza SSL, TLS sau DTLS. In mod implicit, comenzile utilizeaza TLS, iar clienii vor oferi cea mai mica i cea mai mare versiune de protocol pe care o accepta, iar serverele vor alege cea mai mare versiune pe care o ofera clientul i care este acceptata i de server. Opiunile de mai jos pot fi utilizate pentru a limita ce versiuni de protocol sunt utilizate i daca este utilizat TCP (SSL i TLS) sau UDP (DTLS). Reinei ca nu toate protocoalele i opiunile pot fi disponibile, in funcie de modul in care a fost construit OpenSSL. -ssl3, -tls1, -tls1_1, -tls1_2, -tls1_3, -no_ssl3, -no_tls1, -no_tls1_1, -no_tls1_2, -no_tls1_3 Aceste opiuni necesita sau dezactiveaza utilizarea protocoalelor SSL sau TLS specificate. Atunci cand este necesara o anumita versiune TLS, numai aceasta versiune va fi oferita sau acceptata. Se poate oferi un singur protocol specific i acesta nu poate fi combinat cu niciuna dintre opiunile no_. Opiunile no_* nu funcioneaza cu comenzile s_time i ciphers, dar funcioneaza cu comenzile s_client i s_server. -dtls, -dtls1, -dtls1_2 Aceste opiuni specifica utilizarea DTLS in loc de TLS. Cu -dtls, clienii vor negocia orice versiune de protocol DTLS acceptata. Utilizai opiunile -dtls1 sau -dtls1_2 pentru a accepta numai DTLS1.0, respectiv DTLS1.2. OPiuni motor -engine id Incarca motorul identificat prin id i utilizeaza toate metodele pe care le implementeaza (algoritmi, stocarea cheilor etc.), cu excepia cazului in care se specifica altfel in documentaia specifica comenzii sau daca este configurat astfel, dupa cum se descrie in seciunea ,,Configurarea motorului" din config(5). Motorul va fi utilizat pentru id-urile de cheie specificate cu -key i opiuni similare atunci cand este furnizata o opiune precum -keyform engine. Un caz special este motorul "loader_attic", care este destinat doar testelor interne OpenSSL i accepta incarcarea cheilor, parametrilor, certificatelor i CRL-urilor din fiiere. Atunci cand este utilizat acest motor, fiierele cu astfel de acreditari sunt citite prin intermediul acestui motor. Utilizarea schemei "file:" este opionala; un nume simplu de fiier (ruta) este suficient. Opiunile care specifica chei, precum -key i altele similare, pot utiliza schema URI generica de incarcare a cheilor a motorului OpenSSL "org.openssl.engine:" pentru a prelua chei private i chei publice. Sintaxa URI este urmatoarea, in forma simplificata: org.openssl.engine:{id-motor}:{id-cheie} Unde "{id-motor}" este identitatea/numele motorului, iar "{id-cheie}" este un identificator de cheie care este acceptabil pentru motorul respectiv. De exemplu, atunci cand se utilizeaza un motor care interfaeaza cu o implementare PKCS#11, URI-ul generic al cheii ar fi ceva de genul acesta (acesta este un exemplu pentru motorul PKCS#11 care face parte din OpenSC): -key org.openssl.engine:pkcs11:eticheta_unei_chei_private Ca o a treia posibilitate, pentru motoarele i furnizorii care i-au implementat propriul OSSL_STORE_LOADER(3), "org.openssl.engine:" nu ar trebui sa fie necesar. Pentru o implementare PKCS#11 care a implementat un astfel de incarcator, URI PKCS#11 definit in RFC 7512 ar trebui sa poata fi utilizat direct: -key pkcs11:object=o_chei_privata:valoare-pin=1234 Opiuni furnizor -provider nume Incarca i iniializeaza furnizorul identificat prin nume. nume poate fi i o ruta catre modulul furnizorului. In acest caz, numele furnizorului va fi ruta specificata i nu doar numele modulului furnizorului. Interpretarea rutelor relative este specifica platformei. Ruta ,,MODULESDIR" configurata, variabila de mediu OPENSSL_MODULES sau ruta specificata de provider-path este anexata la rutele relative. Consultai provider(7) pentru o descriere mai detaliata. -provider-path ruta Specifica ruta de cautare care urmeaza sa fie utilizata pentru cautarea furnizorilor. In mod echivalent, poate fi definita variabila de mediu OPENSSL_MODULES. -provparam [nume:]key=valoare Definete parametrul de configurare key la valoarea val in furnizorul nume (opional), daca nume nu este specificat, valoarea se va aplica tuturor furnizorilor incarcai. Aceasta opiune poate fi specificata de mai multe ori, pentru a defini mai muli parametri. Opiunile care specifica furnizorii care nu sunt implicit incarcai ar trebui sa preceada aceasta opiune daca se intenioneaza ca valoarea definita sa se aplice furnizorilor care urmeaza sa fie incarcai. Parametrii care afecteaza numai iniializarea furnizorului trebuie, deocamdata, sa fie stabilii in fiierul de configurare; numai parametrii care sunt, de asemenea, interogai ulterior, dupa cum este necesar, au vreun efect atunci cand sunt stabilii prin aceasta interfaa. Sunt acceptai numai parametrii UTF8 cu valoare de ir de caractere. Consultai documentaia furnizorului specific i algoritmii asociai pentru orice parametru acceptat. -propquery propq Specifica clauza de interogare a proprietaii care urmeaza sa fie utilizata la obinerea algoritmilor de la furnizorii incarcai. Consultai property(7) pentru o descriere mai detaliata. MEDIU Bibliotecile OpenSSL pot prelua anumii parametri de configurare din mediu. Pentru informaii despre toate variabilele de mediu utilizate de bibliotecile OpenSSL, precum OPENSSL_CONF, OPENSSL_MODULES i OPENSSL_TRACE, consultai openssl-env(7). Pentru informaii despre utilizarea variabilelor de mediu in configurare, consultai seciunea ,,MEDIU" din config(5). Pentru informaii despre comenzi specifice, consultai openssl-engine(1), openssl-rehash(1) i tsget(1). Pentru informaii despre interogarea sau specificarea fanioanelor arhitecturii CPU, consultai OPENSSL_ia32cap(3), OPENSSL_ppccap(3), OPENSSL_s390xcap(3), i OPENSSL_riscvcap(3). CONSULTAI I openssl-asn1parse(1), openssl-ca(1), openssl-ciphers(1), openssl-cms(1), openssl-crl(1), openssl-crl2pkcs7(1), openssl-dgst(1), openssl-dhparam(1), openssl-dsa(1), openssl-dsaparam(1), openssl-ec(1), openssl-ecparam(1), openssl-enc(1), openssl-engine(1), openssl-errstr(1), openssl-gendsa(1), openssl-genpkey(1), openssl-genrsa(1), openssl-kdf(1), openssl-list(1), openssl-mac(1), openssl-nseq(1), openssl-ocsp(1), openssl-passwd(1), openssl-pkcs12(1), openssl-pkcs7(1), openssl-pkcs8(1), openssl-pkey(1), openssl-pkeyparam(1), openssl-pkeyutl(1), openssl-prime(1), openssl-rand(1), openssl-rehash(1), openssl-req(1), openssl-rsa(1), openssl-rsautl(1), openssl-s_client(1), openssl-s_server(1), openssl-s_time(1), openssl-sess_id(1), openssl-smime(1), openssl-speed(1), openssl-spkac(1), openssl-srp(1), openssl-storeutl(1), openssl-ts(1), openssl-verify(1), openssl-version(1), openssl-x509(1), config(5), crypto(7), openssl-env(7). ssl(7), x509v3_config(5) ISTORIC Opiunile list -XXX-algorithms au fost adaugate in OpenSSL 1.0.0; Pentru note privind disponibilitatea altor comenzi, consultai paginile lor de manual individuale. Opiunea -issuer_checks este depreciata de la OpenSSL 1.1.0 i este ignorata in mod silenios. Opiunile -xcertform i -xkeyform sunt obsolete de la OpenSSL 3.0 i nu au niciun efect. Modul interactiv, care putea fi invocat prin rularea "openssl" fara alte argumente, a fost eliminat in OpenSSL 3.0, iar rularea acestui program fara argumente este acum echivalenta cu "openssl help". DREPTURI DE AUTOR Drepturi de autor 2000-2025 The OpenSSL Project Authors. Toate drepturile rezervate. Liceniat sub Licena Apache 2.0 (,,License"). Nu avei voie sa utilizai acest fiier decat in conformitate cu licena. Putei obine o copie din fiierul LICENSE din distribuia sursei sau de la . TRADUCERE Traducerea in limba romana a acestui manual a fost facuta de Remus- Gabriel Chelu Aceasta traducere este documentaie gratuita; citii Licena publica generala GNU Versiunea 3 sau o versiune ulterioara cu privire la condiii privind drepturile de autor. NU se asuma NICIO RESPONSABILITATE. Daca gasii erori in traducerea acestui manual, va rugam sa trimitei un e-mail la . 3.6.2 7 aprilie 2026 OPENSSL(1ssl)