2024年3月9日发(作者：)

openssl 增强型密钥用法

OpenSSL是一种开源的密码学库，提供了很多密码学功能，包括加密、

解密、数字签名和证书管理等。在OpenSSL中，增强型密钥用法

（Enhanced Key Usage）是一种向证书指定额外的用途约束的机制，本

文将一步一步回答有关OpenSSL增强型密钥用法的问题。

第一步：什么是OpenSSL增强型密钥用法？

OpenSSL增强型密钥用法是一种为证书指定额外用途的方法。在传统的

X.509证书中，使用“Key Usage”字段来指定密钥的用途，如数字签名、

密钥协商或密钥交换等。然而，有时候我们需要更加精细地控制密钥的使

用范围，这就是OpenSSL增强型密钥用法发挥作用的时候。

第二步：为什么需要OpenSSL增强型密钥用法？

在现实世界中，不同的证书可能需要不同的用途约束。例如，某些证书可

能只用于邮箱加密，而另一些证书可能只用于网站身份验证。增强型密钥

用法提供了一种通过扩展“Key Usage”字段来满足这种需求的方式。通

过增强型密钥用法，我们可以更加精确地定义密钥的使用范围，从而提高

安全性。

第三步：如何在OpenSSL中使用增强型密钥用法？

要在OpenSSL中使用增强型密钥用法，需要进行以下步骤：

1. 生成私钥和CSR（证书签发请求）：使用OpenSSL生成私钥和CSR的

命令是“openssl req -newkey rsa:2048 -nodes -keyout

-out ”。通过这个命令，可以生成私钥文件（）和证书

签发请求文件（）。

2. 创建配置文件：创建一个包含增强型密钥用法信息的配置文件，例如

“”。在配置文件中，可以使用“extendedKeyUsage”

字段来指定增强型密钥用法的值。值的格式为对象标识符（OID），可以通

过查阅OpenSSL文档或互联网上的资源来获取相应的OID。

3. 使用配置文件进行证书签发：使用OpenSSL的“ca”命令和上一步中

创建的配置文件，可以使用证书签发机构（CA）的私钥对CSR进行签名，

生成一个包含增强型密钥用法的证书。命令示例：openssl ca -in

-out -extfile 。

4. 验证证书：使用OpenSSL的“x509”命令可以验证生成的证书是否包

含了指定的增强型密钥用法。命令示例：openssl x509 -noout -text -in

。

通过上述步骤，我们可以成功地为证书指定增强型密钥用法。

第四步：增强型密钥用法的应用场景有哪些？

增强型密钥用法可以应用于各种场景，以下是其中的一些示例：

1. 电子邮件加密：通过增强型密钥用法，可以为证书指定用于电子邮件加

密的用途约束。这样，只有具备电子邮件加密用途的证书才能被使用于电

子邮件加密。

2. 网站身份验证：对于HTTPS网站，增强型密钥用法可以用来指定证书

的用途约束，如服务器身份验证。只有包含服务器身份验证约束的证书才

能被用于HTTPS网站的身份验证。

3. 数字签名：增强型密钥用法可以用来指定证书的用途约束为数字签名。

这样，只有具备数字签名用途的证书才能被用于生成和验证数字签名。

总结：

OpenSSL增强型密钥用法是一种为证书指定额外用途的机制，通过扩展

X.509证书中的“Key Usage”字段，可以更加精细地控制密钥的使用范

围。在OpenSSL中，使用增强型密钥用法需要生成私钥和CSR，创建配

置文件，使用配置文件进行证书签发，以及验证生成的证书是否包含了指

定的增强型密钥用法。增强型密钥用法可以应用于各种场景，如电子邮件

加密、网站身份验证和数字签名等，提高了安全性和灵活性。