OpenSSL 核心双库完全剖析：libcrypto 与 libssl

在 OpenSSL 这个庞大的开源项目中，有两个最核心、最基础的功能库：libcrypto 和 libssl。它们如同同一枚硬币的两面，共同构成了 OpenSSL 的基石——既相互独立，又紧密依存。

一、libcrypto：加密算法与安全服务的“万能工具箱”

libcrypto 是 OpenSSL 项目的底层核心库，可以将其理解为一个功能极为全面的“密码学工具集”。它的职责是为所有上层应用提供基础的密码学计算能力和相关支撑服务。

从源码目录结构上看，libcrypto 的所有实现代码都位于 OpenSSL 源代码树的 crypto/ 目录下。它包含的功能极其丰富，可以划分为以下几个大类：

1. 对称加密算法 (Symmetric Ciphers)

提供数据加密和解密的核心算法，主要用于保护数据的机密性。libcrypto 支持的主流算法包括：

• AES (高级加密标准)：当前最通用的对称加密算法。
• DES / 3DES：早期的加密标准，现已逐渐被取代。
• RC4, RC2, Blowfish, IDEA 等：适用于不同历史时期和特定场景的算法。

这些算法的实现代码分别位于 crypto/aes/、crypto/des/、crypto/rc4/ 等子目录中。

2. 非对称加密算法 (Public Key Cryptography)

用于密钥交换、数字签名和身份认证，包含：

• RSA：最经典的非对称算法。
• DSA (数字签名算法)：专门用于数字签名。
• Diffie-Hellman：用于安全地协商密钥。
• ECC (椭圆曲线密码学) 及相关算法。

相关代码在 crypto/rsa/、crypto/dsa/、crypto/dh/、crypto/ec/ 等目录。

3. 哈希与消息摘要算法 (Digests)

用于将任意长度的数据“压缩”成固定长度的摘要值，主要用于校验数据完整性。支持：

• MD2, MD5：曾广泛使用，但因安全性问题已不再推荐。
• SHA 系列 (SHA-1, SHA-256, SHA-512)：当前主流的安全哈希算法。

代码位于 crypto/md5/、crypto/sha/ 等目录。

4. 数字证书与X.509标准支持

libcrypto 提供了对 X.509 数字证书的完整处理能力，包括证书的编码/解码、解析、生成和验证。这是构建公钥基础设施（PKI）的基础。这部分功能的代码集中在 crypto/x509/ 和 crypto/x509v3/ 目录中。

5. 高层的“EVP”封装接口

EVP (Envelope) 层是 libcrypto 提供的一套高级抽象API。它屏蔽了底层各种具体算法的差异，让开发者可以用统一的接口（如 EVP_EncryptInit_ex）来调用 AES、RSA 等不同算法。官方文档明确指出，直接使用 EVP 层之外的底层算法接口是不被推荐的。EVP 的实现位于 crypto/evp/ 目录。

6. 支持性服务与数据结构

除了加密算法，libcrypto 还包含了大量辅助功能，这些看似杂项的功能对 OpenSSL 的正常运作至关重要：

• BIO (抽象I/O)：提供了一套跨文件、内存、socket 的统一 I/O 抽象，极大简化了数据读写，源码在 crypto/bio/ 目录。
• 大数运算库 (BN)：RSA、ECC 等非对称算法的基础，位于 crypto/bn/ 目录。
• ASN.1 编解码：许多加密标准和证书格式都使用 ASN.1 编码，其处理代码在 crypto/asn1/ 目录。
• PEM 文件处理：负责密钥和证书的 PEM 格式读写，位于 crypto/pem/ 目录。
• 其他数据结构：如哈希表 (crypto/lhash/)、堆栈 (crypto/stack/) 等。

二、libssl：安全通信协议的“执行者”

libssl 是 OpenSSL 项目中负责实现安全网络通信协议的库。如果说 libcrypto 是提供“工具”的，那么 libssl 就是使用这些工具来“执行任务”的。它的核心使命是在网络上为两个对等体之间建立起一个安全的通信通道。

从源码结构看，libssl 的所有实现代码都位于 ssl/ 目录下。

它的核心功能体现在以下几个方面：

1. 协议实现

libssl 完整实现了多个版本的 SSL/TLS 协议（如 TLS 1.2, TLS 1.3），以及 DTLS（基于 UDP 的安全协议）和 QUIC（较新的传输层协议）标准。它负责处理客户端与服务器之间复杂的握手协商过程。在这一阶段，双方会协商使用的加密算法、交换密钥、验证身份，并最终建立起一个安全的会话。

2. 依赖 libcrypto 完成具体计算

这是理解两个库关系的关键：libssl 本身并不实现任何具体的加密算法。所有底层的密码学计算（如数据加密、解密、哈希计算、签名验证）都是通过调用 libcrypto 库提供的 API 来完成的。

• libcrypto 负责“如何计算”。
• libssl 负责“何时计算”——即在 TLS 协议流程的正确阶段，调用 libcrypto 完成相应的计算。

3. 会话管理与身份验证

libssl 管理着 TLS 会话的整个生命周期，包括会话的创建、恢复和销毁。同时，它还利用 libcrypto 的 X.509 证书处理能力，完成通信双方的身份验证。

三、两者的紧密关系与架构演进

1. 共生关系

任何使用 libssl 的应用程序，在链接时也必须链接 libcrypto。应用程序可以直接使用 libcrypto 的功能，而不涉及网络通信；但只要涉及 TLS/SSL 通信，则必然同时依赖这两个库。

从源码构建的依赖顺序也能看出：编译 OpenSSL 时，会先生成 libcrypto，再生成依赖于它的 libssl。

2. 共同的根与架构演进

这两个库都源自 SSLeay 库，这是由 Eric A. Young 和 Tim J. Hudson 开发的早期加密库，是 OpenSSL 的前身。它们属于同一个源码项目，在 OpenSSL 的源代码树中，crypto/ 和 ssl/ 是两个并列的顶层目录。

在 OpenSSL 3.0 版本之后，其战略架构引入了 Provider（提供者） 概念，将算法实现从核心库中解耦出来。在新的架构下：

• libcrypto 变为一个更轻量的核心，它定义了算法接口（称为“EVP” API），并负责管理各种 Provider。
• 具体的算法实现由不同的 Provider 提供，如 default provider（包含大部分常用算法）、FIPS provider（包含符合 FIPS 标准的算法）、legacy provider（包含 MD2、RC4 等老旧或被认为不安全的算法）。
• libssl 的定位基本不变，依然负责 TLS 协议实现，但其使用的算法现在也通过 Provider 机制从 libcrypto 获取。

这一演进使得 libcrypto 与 libssl 的功能边界更加清晰，也让 OpenSSL 变得更加模块化和灵活。但无论如何变化，libcrypto 提供加密能力、libssl 实现安全通信这一根本分工，始终没有改变。