第2章 环境准备与工具安装：OpenSSL、JDK keytool、Python cryptography库的安装与验证

课程依赖三个核心工具链：OpenSSL（RSA密钥对生成与证书操作）、JDK keytool（Java Keystore管理）、Python cryptography（AES密钥派生与加解密验证）。本章完成三者的安装、环境配置与功能验证，确保后续章节实验环境一致。

2.1 工具关系与数据流概述

三个工具在密钥生命周期中各司其职，相互配合：OpenSSL负责非对称密钥对与数字证书的底层生成；JDK keytool负责将密钥与证书导入Java Keystore，供Java应用使用；Python cryptography负责对称密钥派生与混合加密验证。下方SVG展示了三者之间的数据流向与职责边界。

2.2 OpenSSL 安装与验证

2.2.1 各平台安装方式

sudo apt update && sudo apt install openssl -y

openssl version

sudo yum install openssl -y

openssl version

brew install openssl

openssl version

choco install openssl

openssl version

2.2.2 版本验证与功能检查

安装完成后执行版本查询，确认输出包含 OpenSSL 1.1.1 或 3.x 字样：

# 版本输出示例（OpenSSL 3.0.10）
openssl version
OpenSSL 3.0.10 1 Aug 2023 (Library: OpenSSL 3.0.10 1 Aug 2023)

# 检查可用算法（确认 RSA 与 AES 可用）
openssl list -cipher-algorithms | grep -i aes
openssl list -public-key-algorithms | grep -i rsa

2.3 JDK keytool 安装与验证

2.3.1 JDK 安装与 JAVA_HOME 配置

keytool 随 JDK 分发，安装 JDK 后即可使用。各平台安装方式如下：

sudo apt install openjdk-17-jdk -y

java -version
keytool -version

sudo yum install java-17-openjdk -y

java -version
keytool -version

brew install openjdk@17

java -version
keytool -version

java -version
keytool -version

2.3.2 环境变量检查与 keytool 可用性

# 检查 JAVA_HOME 是否设置（关键）
echo $JAVA_HOME
# 输出示例：/usr/lib/jvm/java-17-openjdk-amd64

# 验证 keytool 命令可用
keytool -version
# 输出示例：Keytool version: 17.0.10

# 创建临时测试 keystore 验证功能
keytool -genkeypair -alias testkey -keyalg RSA -keysize 2048 \
        -keystore test_keystore.jks -storepass changeit -dname "CN=Test" -validity 30
keytool -list -keystore test_keystore.jks -storepass changeit
# 确认能看到 testkey 条目后删除测试文件
rm -f test_keystore.jks

2.4 Python cryptography 库安装与验证

2.4.1 Python 环境准备

确保 Python 3.8+ 已安装，并建议使用虚拟环境避免依赖冲突：

# 检查 Python 版本
python3 --version
# 输出示例：Python 3.10.12

# 创建并激活虚拟环境（推荐）
python3 -m venv venv_crypto
source venv_crypto/bin/activate   # Linux/macOS
# venv_crypto\Scripts\activate    # Windows

# 升级 pip
pip install --upgrade pip

2.4.2 安装 cryptography 库

# 标准安装
pip install cryptography

# 指定版本（确保 ≥ 41.0）
pip install cryptography==41.0.7

# 验证安装
python3 -c "from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes; print('cryptography OK')"
# 输出：cryptography OK

2.4.3 功能完整性验证脚本

编写并执行以下 Python 脚本，验证 AES-256-GCM 加密解密闭环：

# verify_crypto.py
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.primitives import padding
import os

# 生成 256 位密钥和 96 位 nonce
key = os.urandom(32)
nonce = os.urandom(12)

# 待加密明文
plaintext = b"Hello, RSA+AES hybrid encryption verification!"

# 加密
cipher = Cipher(algorithms.AES(key), modes.GCM(nonce))
encryptor = cipher.encryptor()
ciphertext = encryptor.update(plaintext) + encryptor.finalize()
tag = encryptor.tag

print(f"AES-256-GCM 加密成功")
print(f"明文长度: {len(plaintext)} 字节")
print(f"密文长度: {len(ciphertext)} 字节")
print(f"认证标签: {tag.hex()}")

# 解密
cipher_dec = Cipher(algorithms.AES(key), modes.GCM(nonce, tag))
decryptor = cipher_dec.decryptor()
decrypted = decryptor.update(ciphertext) + decryptor.finalize()

assert decrypted == plaintext, "解密结果不匹配！"
print("✅ 解密验证通过，加解密闭环完整")

# 执行验证
python3 verify_crypto.py

# 预期输出：
# AES-256-GCM 加密成功
# 明文长度: 51 字节
# 密文长度: 51 字节
# 认证标签: xxxxxxxxxxxx
# ✅ 解密验证通过，加解密闭环完整

2.5 三工具联合验证清单

完成上述安装后，使用下表进行快速自检，确保所有工具就绪：

openssl version

keytool -version

python3 --version

pip show cryptography

openssl genpkey -algorithm RSA -out /tmp/t.t -pkeyopt rsa_keygen_bits:2048 && rm /tmp/t.t

python3 verify_crypto.py

2.6 常见安装问题与修复

• OpenSSL 报错 "Can't find openssl" —— 检查 LD_LIBRARY_PATH 或在 Linux 上执行 sudo ldconfig。
• keytool 提示 "java.lang.NoClassDefFoundError" —— JDK 安装损坏，重新安装对应版本并检查 JAVA_HOME 指向正确路径。
• pip install cryptography 失败（缺少 Rust） —— 升级 pip 并安装 Rust 编译器：curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh 或使用预编译 wheel（推荐 Python 3.10+）。
• Windows 上 OpenSSL 命令无效 —— 将 OpenSSL 安装目录的 bin/ 添加到系统 PATH，或使用 Git Bash / WSL2 运行。

至此，课程所需的三个核心工具全部安装验证完毕。第3章将开始使用OpenSSL生成RSA密钥对，并讲解密钥文件的格式与编码原理。