証明書をPEM形式からDER形式に、DER形式からPEM形式に変換したいときは、openssl x509 -outformを使う。 $ openssl x509 -in cert.pem -outform DER -out cert.der DER形式をPEM形式に戻すには、-inform DERで入力の形式を指定する。

社内ネットワークや開発環境で複数のサーバー証明書を使う場合、サーバーごとに自己署名の証明書を作ると、クライアントに1つずつ信頼設定が必要になる。自分用の認証局（CA）を1つ作り、CAの証明書だけをクライアントに信頼させれば、CAが署名したサーバー証明書をまとめて信頼できる。

開発環境やテスト用に、認証局を通さず自分で署名したサーバー証明書を作りたいときは、openssl req -x509を使う。秘密鍵と証明書を1コマンドで作れる。

認証局にサーバー証明書を発行してもらうには、CSR（Certificate Signing Request）を作成して提出する。CSRはopenssl req -newで作る。

秘密鍵のファイルから公開鍵を取り出したいときは、openssl pkey -puboutを使う。 $ openssl pkey -in ec.pem -pubout -----BEGIN PUBLIC KEY----- MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEV2t4f8S5TFHmrxvxLQtoHyijNKqF QuigIbqIza2sCnfoHRVPm4WNXCUpSvDgafsaZ3zvN8WgJVpi8VYAHbXYwg== -----END PUBLIC KEY----- ファイルに保存するには-outを指定する。

TLS証明書や電子署名に使うRSA、ECDSA、Ed25519の秘密鍵を作りたいときは、openssl genpkeyを使う。 $ openssl genpkey -algorithm ED25519 -out ed25519.pem -algorithmで鍵の種類を、-outで出力先を指定する。-outを省略すると、標準出力にPEM形式で出力する。

/etc/shadowに書くパスワードハッシュや、useradd -p、Dockerfile、cloud-initの設定に渡すパスワードハッシュが欲しいときは、openssl passwdを使う。

ファイルをパスワードで暗号化して保管したい、暗号化したファイルを元に戻したいときは、openssl encを使う。 $ openssl enc -aes-256-cbc -pbkdf2 -in plain.txt -out plain.txt.enc enter AES-256-CBC encryption password: Verifying - enter AES-256-CBC encryption password: 復号するときは-dを付ける。

文字列やファイルをBase64でエンコードしたい、Base64の文字列を元に戻したいときは、openssl base64を使う。 $ echo -n "hello world" | openssl base64 aGVsbG8gd29ybGQ= デコードするには-dを付ける。

ダウンロードしたファイルが改ざんされていないか確認したいときや、ファイルの内容が同じかどうかを比較したいときは、openssl dgstでハッシュ値を計算する。