encryption - 如何生成带有 DH 参数的证书

Question

我需要支持 Diffie Hellman 加密，现在为了测试这个我需要创建一个带有 DH key 参数的证书，例如。 key 长度 - 2048 等

据我所知，DH 不适用于自签名证书，因此基本上我需要创建一个由某些受信任的第三方颁发的包含 DH key 参数的证书。

我搜索了很多但似乎找不到正确的方向，我在哪里可以找到一种方法来创建带有 DH 参数的证书。

有人能指出我正确的方向吗？？提前致谢!!

Answer 1

I need to support Diffie Hellman encryption

DH 是 key 交换(或 key 协商)协议(protocol)，不是加密。 DH用于安全地生成双方之间的公共(public) key ，其他算法用于加密本身。

I need to create a certificate with DH key parameters eg. key-length - 2048 etc

证书中没有 DH 参数。

DH 只是使用公钥的方式之一。您可以生成一个指定长度(如2048位)的DH公钥并进行DH交换，与证书参数无关。 (您不是要生成 key 对，而不是证书吗？)。

DH key 交换确实需要其他参数(p，g)，但这些参数是协议(protocol)的一部分，而不是证书。在 TLS 中，甚至 DH 参数也可以是随机的并由证书的公钥进行身份验证 - 这称为临时 Diffie-Hellman key 交换。

您可以单独生成 DH 参数 (p, g):

 openssl dhparam -out dhparams.pem 4096

Can someone point me in right direction??

现在我假设您想使用 DH 建立加密 channel (TLS)。最简单的方法是为库指定允许的 SSL 参数。这是 example httpd configuration ，您可以在其中强制执行 DH key 交换。每个合理的 SSL 框架或服务器都有设置参数的选项。

如果您想自己进行 DH key 交换(而不是作为 TLS 的一部分)，我建议您使用适用于您的编程语言的开箱即用的成熟库。