الاسم

openssl-cms - أمر CMS

موجز

openssl cms [-help]

خيارات عامة:

[-in اسم_الملف] [-out اسم_الملف] [-config ملف_الضبط]

خيارات العملية:

[-encrypt] [-decrypt] [-sign] [-verify] [-resign] [-sign_receipt] [-verify_receipt الإيصال] [-digest البصمة] [-digest_create] [-digest_verify] [-compress] [-uncompress] [-EncryptedData_encrypt] [-EncryptedData_decrypt] [-data_create] [-data_out] [-cmsout]

خيارات تنسيق الملف:

[-inform DER|PEM|SMIME] [-outform DER|PEM|SMIME] [-rctform DER|PEM|SMIME] [-stream] [-indef] [-noindef] [-binary] [-crlfeol] [-asciicrlf]

خيارات المفاتيح وكلمات السر:

[-pwri_password كلمة_السر] [-secretkey المفتاح] [-secretkeyid المعرف] [-inkey اسم_الملف|uri] [-passin معطى] [-keyopt الاسم:المعلمة] [-keyform DER|PEM|P12|ENGINE] [-engine المعرف] [-provider الاسم] [-provider-path المسار] [-provparam [الاسم:]المفتاح=القيمة] [-propquery propq] [-rand ملفات] [-writerand ملف]

خيارات التعمية:

[-originator ملف] [-recip ملف] [شهادة-المستلم ...] [-cipher] [-kekcipher المعمي] [-wrap المعمي] [-aes128-wrap] [-aes192-wrap] [-aes256-wrap] [-des3-wrap] [-debug_decrypt] [-recip_kdf kdf] [-recip_ukm ukm]

خيارات التوقيع:

[-md البصمة] [-signer ملف] [-certfile ملف] [-cades] [-nodetach] [-nocerts] [-noattr] [-nosmimecap] [-no_signing_time] [-receipt_request_all] [-receipt_request_first] [-receipt_request_from عنوان_البريد] [-receipt_request_to عنوان_البريد]

خيارات الاستيثاق:

[-signer ملف] [-content اسم_الملف] [-no_content_verify] [-no_attr_verify] [-nosigs] [-noverify] [-nointern] [-cades] [-verify_retcode] [-CAfile ملف] [-no-CAfile] [-CApath دليل] [-no-CApath] [-CAstore uri] [-no-CAstore]

خيارات المخرج:

[-keyid] [-econtent_type نوع] [-text] [-certsout ملف] [-to عنوان] [-from عنوان] [-subject الموضوع]

خيارات الطباعة:

[-noout] [-print] [-nameopt خيار] [-receipt_request_print]

خيارات التحقق:

[-allow_proxy_certs] [-attime طابع_زمني] [-no_check_time] [-check_ss_sig] [-crl_check] [-crl_check_all] [-explicit_policy] [-extended_crl] [-ignore_critical] [-inhibit_any] [-inhibit_map] [-partial_chain] [-policy معطى] [-policy_check] [-policy_print] [-purpose الغرض] [-suiteB_128] [-suiteB_128_only] [-suiteB_192] [-trusted_first] [-no_alt_chains] [-use_deltas] [-auth_level رقم] [-verify_depth رقم] [-verify_email بريد] [-verify_hostname اسم_المضيف] [-verify_ip ip] [-verify_name اسم] [-x509_strict] [-issuer_checks]

الوصف

يعالج هذا الأمر البيانات بتنسيق CMS مثل رسائل البريد الإلكتروني S/MIME v3.1. ويمكنه تعمية الرسائل وفك تعميتها وتوقيعها والاستيثاق منها وضغطها وفك ضغطها وطباعتها.

الخيارات

هناك عدد من خيارات التشغيل التي تحدد نوع العملية المراد تنفيذها: encrypt، أو decrypt، أو sign، أو verify، أو resign، أو sign_receipt، أو verify_receipt، أو digest_create، أو digest_verify، أو compress، أو uncompress، أو EncryptedData_encrypt، أو EncryptedData_decrypt، أو data_create، أو data_out، أو cmsout. وتعتمد صلة الخيارات الأخرى على نوع العملية وقد يختلف معناها وفقًا لها.

-help

اطبع رسالة الاستخدام.

ملاحظات

يجب إرسال رسالة MIME بدون أي أسطر فارغة بين الترويسات والمخرجات. ستضيف بعض برامج البريد سطرًا فارغًا آليًا. يعد تمرير البريد مباشرة إلى sendmail إحدى الطرق لتحقيق التنسيق الصحيح.

يجب أن تتضمن الرسالة الممررة المطلوب توقيعها أو تعميتها ترويسات MIME اللازمة وإلا فلن يعرضها العديد من عملاء S/MIME عرضًا صحيحًا (هذا إن عُرضت أصلًا). يمكنك استخدام الخيار -text لإضافة ترويسات نصية صرفة آليًا.

الرسالة "الموقعة والمشفرة" هي تلك التي يتم فيها تشفير رسالة موقعة بالفعل. يمكن إنتاج ذلك عن طريق تشفير رسالة تم توقيعها مسبقاً: راجع قسم الأمثلة.

يسمح هذا الإصدار من البرنامج بموقع واحد فقط لكل رسالة ولكنه سيتحقق من موقعين متعددين في الرسائل المستلمة. تتعطل بعض عملاء S/MIME إذا كانت الرسالة تحتوي على موقعين متعددين. من الممكن توقيع الرسائل "بالتوازي" عن طريق توقيع رسالة موقعة بالفعل.

يعكس الخياران -encrypt و -decrypt الاستخدام الشائع في عملاء S/MIME. من الناحية الدقيقة، تعالج هذه الخيارات بيانات CMS المغلفة: تُستخدم بيانات CMS المعماة لأغراض أخرى.

يستخدم الخيار -resign خلاصة رسالة موجودة عند إضافة موقع جديد. هذا يعني أن السمات يجب أن تكون موجودة في موقع واحد موجود على الأقل يستخدم نفس خلاصة الرسالة وإلا ستفشل هذه العملية.

يُمكّن الخياران -stream و -indef دعم الإدخال/الإخراج المتدفق. ونتيجة لذلك، يكون الترميز BER باستخدام ترميز مبني غير محدد الطول ولم يعد DER. التدفق مدعوم لعمليتي -encrypt و -sign إذا لم يكن المحتوى منفصلاً.

يُستخدم التدفق دائمًا لعملية -sign مع البيانات المنفصلة، ولكن بما أن المحتوى لم يعد جزءًا من بنية CMS، يظل الترميز DER.

إذا استخدم الخيار -decrypt بدون شهادة مستلم، فستُجرى محاولة لتحديد موقع المستلم بتجربة كل مستلم محتمل بالتبادل باستخدام المفتاح الخاص الممرر. لإحباط هجوم MMA (هجوم Bleichenbacher على حشوة PKCS #1 v1.5 RSA)، تُجرب جميع المستلمين سواء نجحوا أم لا، وإذا لم يتطابق أي مستلم، تُجرى "فك تعمية" الرسالة باستخدام مفتاح عشوائي سيخرج عادةً نفايات. يمكن استخدام الخيار -debug_decrypt لتعطيل الحماية من هجوم MMA وإرجاع خطأ إذا لم يُعثر على مستلم: يجب استخدام هذا الخيار بحذر. لوصف أشمل انظر CMS_decrypt(3)).

توقيع كيدس الإلكتروني الأساسي (CADES-BES)

يحتوي توقيع كيدس الإلكتروني الأساسي (CAdES-BES)، كما هو محدد في المعيار الأوروبي ETSI EN 319 122-1 V1.1.1، على:

• بيانات المستخدم الموقعة كما هي محددة في CMS (RFC 3852)؛
• نوع المحتوى (Content-type) لقيمة EncapsulatedContentInfo التي يتم توقيعها؛
• خلاصة الرسالة (Message-digest) لـ eContent OCTET STRING داخل encapContentInfo التي يتم توقيعها؛
• سمة ESS signingCertificate أو ESS signingCertificateV2، كما هو محدد في خدمات الأمان المحسنة (ESS)، و RFC 2634 و RFC 5035. تسمح سمة ESS signingCertificate فقط بـ SHA-1 كخوارزمية خلاصة. بينما تسمح سمة ESS signingCertificateV2 بأي خوارزمية خلاصة.
• قيمة التوقيع الرقمي المحسوبة على بيانات المستخدم، وعند وجودها، على السمات الموقعة.

  لاحظ أن الخيار -cades ينطبق على عمليتي -sign أو -verify. مع هذا الخيار، تتطلب عملية -verify أيضًا وجود سمة signingCertificate وتتحقق من مطابقة المعرفات المعطاة لسلسلة ثقة التحقق التي بُنيت أثناء عملية التحقق.

رموز الخروج

0

نُفذت العملية بنجاح تام.

1

حدث خطأ أثناء تحليل خيارات الأمر.

2

أحد ملفات المدخلات لا يمكن قراءته.

3

حدث خطأ أثناء إنشاء ملف CMS أو عند قراءة رسالة MIME.

4

حدث خطأ أثناء فك تعمية الرسالة أو الاستيثاق منها.

5

فُحصت الرسالة بشكل صحيح ولكن حدث خطأ أثناء كتابة شهادات الموقعين.

التوافق مع تنسيق PKCS#7

لا يمكن لـ openssl-smime(1) إلا معالجة تنسيق PKCS#7 القديم. يدعم openssl cms تنسيق Cryptographic Message Syntax. سيؤدي استخدام بعض الميزات إلى رسائل لا يمكن معالجتها بواسطة التطبيقات التي تدعم التنسيق القديم فقط. هذه الميزات مفصلة أدناه.

استخدام الخيار -keyid مع -sign أو -encrypt.

يستخدم خيار -outform PEM ترويسات مختلفة.

خيار -compress.

خيار -secretkey عند استخدامه مع -encrypt.

استخدام PSS مع -sign.

استخدام OAEP أو مفاتيح غير RSA مع -encrypt.

بالإضافة إلى ذلك، لا يمكن معالجة النوعين -EncryptedData_encrypt و -data_create بواسطة أمر openssl-smime(1) القديم.

أمثلة

أنشئ رسالة موقعة بنص واضح:

openssl cms -sign -in message.txt -text -out mail.msg \
       -signer mycert.pem

أنشئ رسالة موقعة غير شفافة

openssl cms -sign -in message.txt -text -out mail.msg -nodetach \
       -signer mycert.pem

أنشئ رسالة موقعة، وضمّن بعض الشهادات الإضافية واقرأ المفتاح الخاص من ملف آخر:

openssl cms -sign -in in.txt -text -out mail.msg \
       -signer mycert.pem -inkey mykey.pem -certfile mycerts.pem

أنشئ رسالة موقعة بموقعين اثنين، باستخدام معرف المفتاح:

openssl cms -sign -in message.txt -text -out mail.msg \
       -signer mycert.pem -signer othercert.pem -keyid

أرسل رسالة موقعة تحت يونكس مباشرة إلى sendmail، مع تضمين الترويسات:

openssl cms -sign -in in.txt -text -signer mycert.pem \
       -from steve@openssl.org -to someone@somewhere \
       -subject "Signed message" | sendmail someone@somewhere

تحقق من رسالة واستخرج شهادة الموقع إذا نجح ذلك:

openssl cms -verify -in mail.msg -signer user.pem -out signedtext.txt

أرسل بريدًا معمى باستخدام triple DES:

openssl cms -encrypt -in in.txt -from steve@openssl.org \
       -to someone@somewhere -subject "Encrypted message" \
       -des3 user.pem -out mail.msg

توقيع وتعمية البريد:

openssl cms -sign -in ml.txt -signer my.pem -text \
       | openssl cms -encrypt -out mail.msg \
       -from steve@openssl.org -to someone@somewhere \
       -subject "Signed and Encrypted message" -des3 user.pem

ملاحظة: أمر التشفير لا يتضمن خيار -text لأن الرسالة التي يجري تشفيرها تحتوي بالفعل على ترويسات MIME.

فك تعمية رسالة:

openssl cms -decrypt -in mail.msg -recip mycert.pem -inkey key.pem

المخرج من توقيع نماذج نيتسكيب (Netscape) هو هيكل PKCS#7 بتنسيق التوقيع المنفصل. يمكنك استخدام هذا البرنامج لفحص التوقيع عن طريق لف أسطر الهيكل المرمز بـ base64 وإحاطته بـ:

-----BEGIN PKCS7-----
-----END PKCS7-----

واستخدام الأمر،

openssl cms -verify -inform PEM -in signature.pem -content content.txt

بدلاً من ذلك، يمكنك فك ترميز التوقيع من base64 واستخدام

openssl cms -verify -inform DER -in signature.der -content content.txt

أنشئ رسالة معمّاة باستخدام Camellia بـ 128 بت:

openssl cms -encrypt -in plain.txt -camellia128 -out mail.msg cert.pem

أضف موقعًا إلى رسالة موجودة:

openssl cms -resign -in mail.msg -signer newsign.pem -out mail2.msg

وقع رسالة باستخدام RSA-PSS:

openssl cms -sign -in message.txt -text -out mail.msg \
       -signer mycert.pem -keyopt rsa_padding_mode:pss

أنشئ رسالة معماة باستخدام RSA-OAEP:

openssl cms -encrypt -in plain.txt -out mail.msg \
       -recip cert.pem -keyopt rsa_padding_mode:oaep

استخدم SHA256 KDF مع شهادة ECDH:

openssl cms -encrypt -in plain.txt -out mail.msg \
       -recip ecdhcert.pem -keyopt ecdh_kdf_md:sha256

اطبع بيانات CMS الثنائية الموقعة بتنسيق يمكن للبشر قراءته:

openssl cms -in signed.cms -binary -inform DER -cmsout -print

العلل

محلل MIME ليس ذكيًا جدًا: يبدو أنه يتعامل مع معظم الرسائل التي ألقيتها عليه ولكنه قد يواجه صعوبة مع رسائل أخرى.

سيقوم الكود حاليًا فقط بكتابة شهادة الموقع إلى ملف: إذا كان للموقع شهادة تشفير منفصلة، فيجب استخراجها يدويًا. ينبغي أن تتوفر بعض القواعد الاستدلالية التي تحدد شهادة التشفير الصحيحة.

من الناحية المثالية، يجب صيانة قاعدة بيانات للشهادات لكل عنوان بريد إلكتروني.

لا يلاحظ الكود حاليًا خوارزميات التعمية المتماثلة المسموح بها كما هي ممررة في سمة SMIMECapabilities الموقعة. وهذا يعني أن على المستخدم تضمين خوارزمية التعمية الصحيحة يدويًا. يجب أن يخزن قائمة الشيفرات المسموح بها في قاعدة بيانات ويستخدمها فقط.

لا يُجرى فحص للإبطال على شهادة الموقع.

انظر أيضًا

ossl_store-file(7)

التاريخ

غُيرت شيفرة التعمية المبدئية من 3DES إلى AES-256 في OpenSSL 3.5.

أُضيف استخدام خيارات -signer المتعددة وأمر -resign لأول مرة في OpenSSL 1.0.0.

أُضيف خيار -keyopt في OpenSSL 1.0.2.

أُضيف دعم RSA-OAEP و RSA-PSS في OpenSSL 1.0.2.

أُضيف استخدام مفاتيح غير RSA مع -encrypt و -decrypt في OpenSSL 1.0.2.

أُضيف خيار -no_alt_chains في OpenSSL 1.0.2b.

أُضيف خيار -nameopt في OpenSSL 3.0.0.

خيار -engine أصبح مهجوراً في OpenSSL 3.0.

أُضيف خيار -digest في OpenSSL 3.2.

أُضيف الخياران -recip_kdf و -recip_ukm في OpenSSL 3.6.

حقوق النسخ

حقوق النسخ 2008-2026 لمؤلفي مشروع OpenSSL. جميع الحقوق محفوظة.

مرخص بموجب رخصة Apache 2.0 (المشار إليها فيما يلي بـ ”الرخصة“). لا يجوز لك استخدام هذا الملف إلا وفقًا لشروط الرخصة. يمكنك الحصول على نسخة منها في الملف LICENSE الموجود في حزمة التوزيع المصدرية أو على الرابط https://www.openssl.org/source/license.html.

ترجمة

تُرجمت هذه الصفحة من الدليل بواسطة زايد السعيدي <zayed.alsaidi@gmail.com>

هذه الترجمة هي وثيقة مجانية؛ راجع رخصة جنو العامة الإصدار 3 أو ما بعده للاطلاع على شروط حقوق النشر. لا توجد أي ضمانات.

إذا وجدت أي أخطاء في ترجمة صفحة الدليل هذه، يرجى إرسال بريد إلكتروني إلى قائمة بريد المترجمين: kde-l10n-ar@kde.org.