我该如何使用公钥加密大文件，以便除拥有私钥的人之外，没有其他人能够解密它？
我可以生成RSA公钥和私钥，但当涉及到使用以下命令加密大文件时：
openssl rsautl -encrypt -pubin -inkey public.pem -in myLargeFile.xml -out myLargeFile_encrypted.xml
我该如何进行解密操作呢？我使用以下命令创建了我的私钥和公钥：
openssl genrsa -out private.pem 1024
openssl rsa -in private.pem -out public.pem -outform PEM -pubout
我遇到了这个错误：
RSA operation error
3020:error:0406D06E:rsa routines:RSA_padding_add_PKCS1_type_2:data too large for key size:.\crypto\rsa\rsa_pk1.c:151:
我尝试使用大小从1024到1200位的密钥，但没有成功，出现了相同的错误。
公钥加密并不适用于加密任意长度的文件。通常使用对称密码（例如AES）进行普通加密。每次生成一个新的随机对称密钥，使用该密钥进行加密，然后使用RSA密码（公钥）将其加密。密文以及加密的对称密钥一起传输给接收者。接收者使用其私钥解密对称密钥，然后使用对称密钥解密消息。
私钥从未共享，仅使用公钥加密随机对称密码。
在OpenSSL和命令行中，实现安全高效的编码任何文件的解决方案：
你需要准备一些X.509证书以PEM格式加密文件。
加密文件：
openssl smime -encrypt -binary -aes-256-cbc -in plainfile.zip -out encrypted.zip.enc -outform DER yourSslCertificate.pem
说明：
该命令能够高效地强加密任何格式的大文件。
已知问题：
当你尝试加密大于600MB的文件时，会发生错误。虽然不会抛出错误，但加密后的文件将会损坏。请务必验证每个文件！（或使用PGP - 它对带有公钥的文件加密有更好的支持）
解密文件：
openssl smime -decrypt -binary -in encrypted.zip.enc -inform DER -out decrypted.zip -inkey private.key -passin pass:your_password
什么是什么：
-aes256而不是-aes-256-cbc。 - Brian Armstrong我发现在http://www.czeskis.com/random/openssl-encrypt-file.html找到的指示很有用。
用你的示例文件名来解释这个链接网站的步骤：
生成对称密钥，因为你可以使用它加密大文件
openssl rand -base64 32 > key.bin使用对称密钥加密大文件
openssl enc -aes-256-cbc -salt -in myLargeFile.xml \ -out myLargeFile.xml.enc -pass file:./key.bin加密对称密钥，以便您可以安全地将其发送到其他人
openssl rsautl -encrypt -inkey public.pem -pubin -in key.bin -out key.bin.enc销毁未加密的对称密钥，以免被他人发现。
shred -u key.bin此时，您将加密的对称密钥（
key.bin.enc）和加密的大文件（myLargeFile.xml.enc）发送给另一个人。然后，另一个人可以使用他们的私钥解密对称密钥。
openssl rsautl -decrypt -inkey private.pem -in key.bin.enc -out key.bin现在他们可以使用对称密钥解密文件。
而且，您已经完成了。另一个人拥有解密后的文件，它已经被安全地发送了。openssl enc -d -aes-256-cbc -in myLargeFile.xml.enc \ -out myLargeFile.xml -pass file:./key.bin
使用rsautl不能直接加密大文件。相反，可以按照以下步骤操作：
openssl rand生成密钥，例如：openssl rand 32 -out keyfileopenssl rsautl加密密钥文件。openssl enc加密数据，使用步骤1生成的密钥。使用smime加密非常大的文件并不建议，因为您可能可以使用“-stream”选项加密大文件，但由于硬件限制，无法解密生成的文件 参见：解密大文件的问题
如上所述，公钥加密不适用于加密任意长度的文件。因此，以下命令将生成一个密码短语，使用对称加密算法来加密文件，然后使用非对称（公钥）加密算法加密密码短语。请注意：smime包括使用主公钥和备份键来加密密码短语。建议使用备份公/私钥对。
将RANDFILE值设置为当前用户可以访问的文件，生成passwd.txt文件，并清除设置。
export OLD_RANDFILE=$RANDFILE
RANDFILE=~/rand1
openssl rand -base64 2048 > passwd.txt
rm ~/rand1
export RANDFILE=$OLD_RANDFILE
使用以下命令将文件使用passwd.txt的内容作为密码，AES256加密到一个base64 (-a选项) 文件。使用一个主公钥和备份密钥，对passwd.txt进行非对称加密，将其加密为XXLarge.crypt.pass文件。
openssl enc -aes-256-cbc -a -salt -in XXLarge.data -out XXLarge.crypt -pass file:passwd.txt
openssl smime -encrypt -binary -in passwd.txt -out XXLarge.crypt.pass -aes256 PublicKey1.pem PublicBackupKey.pem
rm passwd.txt
解密会将XXLarge.crypt.pass解密为passwd.tmp，将XXLarge.crypt解密为XXLarge2.data，并删除passwd.tmp文件。
openssl smime -decrypt -binary -in XXLarge.crypt.pass -out passwd.tmp -aes256 -recip PublicKey1.pem -inkey PublicKey1.key
openssl enc -d -aes-256-cbc -a -in XXLarge.crypt -out XXLarge2.data -pass file:passwd.tmp
rm passwd.tmp
这已经针对>5GB的文件进行了测试。
5365295400 Nov 17 10:07 XXLarge.data
7265504220 Nov 17 10:03 XXLarge.crypt
5673 Nov 17 10:03 XXLarge.crypt.pass
5365295400 Nov 17 10:07 XXLarge2.data
n. '代词' m. 的回答进行更详细的解释之前，
公钥加密并不适用于加密任意长度的文件。我们使用对称密码（比如AES）进行普通的加密。每次生成一个新的随机的对称密钥，用它来加密数据，然后再用RSA密码（公钥）加密这个对称密钥。密文和加密后的对称密钥将一起传输给接收方。接收方使用自己的私钥解密对称密钥，然后再使用该对称密钥来解密消息。
下面是加密流程：
+---------------------+ +--------------------+
| | | |
| generate random key | | the large file |
| (R) | | (F) |
| | | |
+--------+--------+---+ +----------+---------+
| | |
| +------------------+ |
| | |
v v v
+--------+------------+ +--------+--+------------+
| | | |
| encrypt (R) with | | encrypt (F) |
| your RSA public key | | with symmetric key (R) |
| | | |
| ASym(PublicKey, R) | | EF = Sym(F, R) |
| | | |
+----------+----------+ +------------+-----------+
| |
+------------+ +--------------+
| |
v v
+--------------+-+---------------+
| |
| send this files to the peer |
| |
| ASym(PublicKey, R) + EF |
| |
+--------------------------------+
解密的流程如下：
+----------------+ +--------------------+
| | | |
| EF = Sym(F, R) | | ASym(PublicKey, R) |
| | | |
+-----+----------+ +---------+----------+
| |
| |
| v
| +-------------------------+-----------------+
| | |
| | restore key (R) |
| | |
| | R <= ASym(PrivateKey, ASym(PublicKey, R)) |
| | |
| +---------------------+---------------------+
| |
v v
+---+-------------------------+---+
| |
| restore the file (F) |
| |
| F <= Sym(Sym(F, R), R) |
| |
+---------------------------------+
# generate random symmetric key
openssl rand -base64 32 > /config/key.bin
# encryption
openssl rsautl -encrypt -pubin -inkey /config/public_key.pem -in /config/key.bin -out /config/key.bin.enc
openssl aes-256-cbc -a -pbkdf2 -salt -in $file_name -out $file_name.enc -kfile /config/key.bin
# now you can send these files: $file_name.enc + /config/key.bin.enc
# decryption
openssl rsautl -decrypt -inkey /config/private_key.pem -in /config/key.bin.enc -out /config/key.bin
openssl aes-256-cbc -d -a -pbkdf2 -in $file_name.enc -out $file_name -kfile /config/key.bin
-kfile /config/key.bin而不是-k $(cat /config/key.bin)，否则密码会在进程列表（任务管理器）中泄漏。 - Yeti如果要使用openssl smime安全地加密大文件（>600MB），则需要将每个文件拆分成小块：
# Splits large file into 500MB pieces
split -b 500M -d -a 4 INPUT_FILE_NAME input.part.
# Encrypts each piece
find -maxdepth 1 -type f -name 'input.part.*' | sort | xargs -I % openssl smime -encrypt -binary -aes-256-cbc -in % -out %.enc -outform DER PUBLIC_PEM_FILE
为了提供信息，以下是如何解密和组合所有部分的方法：
# Decrypts each piece
find -maxdepth 1 -type f -name 'input.part.*.enc' | sort | xargs -I % openssl smime -decrypt -in % -binary -inform DEM -inkey PRIVATE_PEM_FILE -out %.dec
# Puts all together again
find -maxdepth 1 -type f -name 'input.part.*.dec' | sort | xargs cat > RESTORED_FILE_NAME