TLS原理及证书生成

1、生成RSA密钥

> openssl genrsa -des3 -out mykey.pem 2048 

或者：

> openssl genrsa -out mykey.pem 2048 

建议用2048位密钥，少于此可能会不安全或很快将不安全。

2、生成证书请求

> openssl req -new -key mykey.pem -out cert.csr 

cert.csr即一个证书请求文件，可以拿着这个文件去数字证书颁发机构（CA）申请数字证书。CA会给一个新的文件cacert.pem，即数字证书。

3、生成证书
若自己测试，则证书的申请机构和颁发机构都是自己。可以用如下命令生成证书：

> openssl req -new -x509 -key mykey.pem -out cert.pem -days 1095 

4、使用数字证书和密钥
有了mykey.pem和cert.pem文件后就可以在自己的程序中使用了，比如做一个加密通讯的TCP通信连接。

TLS加密大致原理如下：
简单说来，TLS通信的核心是使用 非对称加密 去协商一个密钥Key，然后通信双方使用密钥Key进行对称加密通信，具体过程如下：

1. 客户端获取服务器证书（即前面所述的cert.pem），验证证书合法有效，以确保公钥来自服务器，而不是伪造的公钥。
2. 客户端生成一个随机数A，并使用服务器证书(cert.pem)中的公钥加密一个随机数A，发送给服务器
3. 服务器用私钥（即前面所述的mykey.pem ）解密得到随机数A（服务器私钥一定要保存好，不可泄露）
4. 后续双方使用随机数A进行对称加密通信。

这样即使数据被第三方拦截，也无法得到随机数A（因为私钥只在服务器手中），所以后续双方的对称加密通信也是安全的。当然，这只是大致原理，具体实现远远复杂的多。

以上为个人理解总结，欢迎纠正指教！