Как зашифровать данные на php с помощью публичных / приватных ключей?

Я бы создал пару открытых / закрытых ключей S / MIME с помощью OpenSSL, а затем использовал бы команду OpenSSL для шифрования и дешифрования. Я считаю, что это лучше, чем использование PGP, потому что openssl включен в большинство операционных систем Linux, а PGP - нет. OpenSSL также основан на стандартах и, как правило, с ним легче работать, если у вас есть команды.

Я рекомендовал не использовать решение «на чистом PHP» (под чистым PHP я подразумеваю выполнение шифрования в PHP, а не использование PHP для вызова существующей библиотеки или отдельного исполняемого файла). Вы не хотите делать массовое шифрование на PHP. Слишком медленно. И вы хотите использовать OpenSSL, потому что это высокая производительность и безопасность хорошо понятны.

Вот и волшебство.

Чтобы создать ключ X.509:

$subj="/C=US/ST=California/L=Remote/O=Country Govt./OU=My Dept/CN=Mr. Agent/[email protected]"
openssl req -x509 -newkey rsa:1024 -keyout mycert.key -out mycert.pem -nodes -subj $subj

При этом закрытый ключ помещается в mycert.key, а открытый ключ - в mycert.pem. Закрытый ключ не защищен паролем.

Теперь, чтобы подписать сообщение с помощью S / MIME:

openssl smime -sign -signer mycert.pem -inkey mycert.key <input >output

Чтобы зашифровать сообщение с помощью S / MIME:

openssl smime -encrypt -recip yourcert.pem <input >output

Чтобы расшифровать сообщение с помощью S / MIME:

openssl smime -decrypt -inkey mycert.key -certfile mycert.pem <input >output

У меня также есть несколько демонстраций использования OpenSSL из привязок языка C, но не из PHP.

Создание пары закрытого и открытого ключей с помощью функций PHP Openssl:

// Configuration settings for the key
$config = array(
    "digest_alg" => "sha512",
    "private_key_bits" => 4096,
    "private_key_type" => OPENSSL_KEYTYPE_RSA,
);

// Create the private and public key
$res = openssl_pkey_new($config);

// Extract the private key into $private_key
openssl_pkey_export($res, $private_key);

// Extract the public key into $public_key
$public_key = openssl_pkey_get_details($res);
$public_key = $public_key["key"];

Затем вы можете зашифровать и расшифровать, используя закрытый и открытый ключи, например:

// Something to encrypt
$text = 'This is the text to encrypt';

echo "This is the original text: $text\n\n";

// Encrypt using the public key
openssl_public_encrypt($text, $encrypted, $public_key);

$encrypted_hex = bin2hex($encrypted);
echo "This is the encrypted text: $encrypted_hex\n\n";

// Decrypt the data using the private key
openssl_private_decrypt($encrypted, $decrypted, $private_key);

echo "This is the decrypted text: $decrypted\n\n";

Правило 1. Не реализуйте это самостоятельно, используйте библиотеку.

Какая библиотека? Вот мои рекомендуемые общедоступные PHP- ключевые библиотеки криптографии:

1. Halite зависит от libsodium (но помимо безопасности подчеркивает простоту и удобство использования).
2. libsodium из PECL
3. EasyRSA, который реализует безопасное шифрование с открытым ключом и подписи с открытым ключом с использованием RSA в наиболее безопасных режимах (НЕ PKCS1v1.5, когда-либо!)
4. phpseclib, который используется EasyRSA.

В общем, вам понадобится libsodium, если ваша цель - безопасность. Используете ли вы галит или нет - дело вкуса.

PGP - хороший вариант - он реализован правильно и полностью (т.е. у вас мало места для ошибок безопасности с PGP). Я думаю, что этот вопрос SO поможет вам при взаимодействии с GnuPG. Вопрос в том, будут ли проверять вашу подпись и как другие сайты. Вам необходимо либо соответствовать их требованиям к механизму проверки, либо предоставить собственный модуль, который эти сайты будут использовать для проверки.

Также возможно, что вы можете использовать OAuth или OpenID для идентификации пользователей на этих других сайтах, но я не являюсь экспертом в этих технологиях.

Я написал пример шифрования и дешифрования с помощью openSSL на PHP и Python.

http://glynrob.com/php/hashing-and-public-key-encryption/

Доступен исходный код Github.

Не забывайте, что закрытый ключ должен быть доступен в месте расшифровки, чтобы это работало.