Mac Security工具使用总结

Security是Mac系统中钥匙串和安全模块的命令行管理工具，（图形化工具为Keychain Access.app）。钥匙串（Keychain）实质上就是一个用于存放证书、密钥、密码等安全认证实体的仓库，在计算机中保存为一个.keychain的文件，一般存放在以下目录中：

• ~/Library/Keychains/
• /Library/Keychains/
• /Network/Library/Keychains/

Security API文档：https://developer.apple.com/library/mac/documentation/Security/Conceptual/keychainServConcepts/01introduction/introduction.html 

Security命令

语法如下：

security [-hilqv] [-p prompt] [command] [command options] [command args]

• [subcommand] -h    帮助，无命令参数时查看所有命令，带命令参数时显示该命令的使用方法
• -i    交互模式
• -p <prompt>    进入交互模式，使用自定义提示符
• -q      减少信息输出
• -v      增加信息输出
• -l      security退出前，调用/usr/bin/leaks -nocontext检查执行的命令是否有泄漏

子命令(command)

子命令列表如下，后面有关子命令的说明中都将忽略命令语法前面的security [-hilav] [-p prompt]。

• help
• create-keychain    创建钥匙串并加入搜索列表
• list-keychains   显示或设置钥匙串搜索列表
• default-keychain   显示或设置默认的钥匙串 
• login-keychain     显示或设置登录钥匙串
• delete-keychain    删除钥匙串并从搜索列表移除
• lock-keychain    锁定制定的钥匙串
• unlock-keychain    解锁制定的钥匙串
• set-keychain-settings    设置钥匙串配置
• set-keychain-password   设置钥匙串密码
• dump-keychain    显示一个或多个钥匙串的内容
• create-keypair     创建非对称密钥对
• add-generic-password    向钥匙串中添加通用密码项
• find-generic-password    查找通用密码项
• delete-generic-password   删除通用密码项
• add-internet-password   向钥匙串中添加网络密码项
• find-internet-password   查找网络密码项
• delete-internet-password   删除网络密码项
• add-certificates     向钥匙串种添加证书
• find-certificate    查找证书
• delete-certificate   从钥匙串种删除证书
• find-identity     查找认证实体（证书+私钥）
• set-identity-preference  
• get-identity-preference
• create-db
• export
• import
• cms     编码或解码CMS信息（PKCS#7）
• install-mds    安装/重装MDS 数据库
• add-trusted-cert    添加可信证书（只包含公钥，无私钥）
• remove-trusted-cert  删除可信证书
• dump-trusted-setting   显示信任配置
• user-trust-settings-enable    显示或管理用户级别的信任配置
• trust-settings-export   导出信任配置
• trust-settings-import   导入信任配置
• verify-cert    验证证书
• authorize    授权操作
• authorizationdb   变更授权策略数据库
• execute-with-privileges   带特权执行工具
• leaks     在本进程中运行/usr/bin/leaks
• error     显示指定错误码的描述信息
• create-filevaultmaster-keychain   创建一个带密钥对的钥匙串，用于FileVault恢复（FileVault是苹果系统里的一项保密机制，会自动透明地对主目录的内容进行实时加密和解密） 

创建钥匙串

create-keychain [-P] [-p <password>]   <keychainFiles...>

• -p <password>      设置新创建的钥匙串的密码
• -P    调用SecurityAgent图形化程序设置密码

向钥匙串中添加钥匙（认证项目）

import <inputfile>  [-k <keychain>] [-t <type>]  [-f format] [-w]  [-P passphrase] [options...]

• -k <keychain>    指定要导入项目到哪个钥匙串中
• -t  <type>     指定要导入的项目类型，可取值为： pub | priv | session | cert | agg
• -f  <format>    指定导入项目的格式，可取值为：openssl | openssl1 | openssl2 | bsafe | raw | pkcs7 | pkcs8 | pkcs12 | netscape | pemseq
• -w     标明包装了私钥，导入时要解开
• -x     标明导入后，私钥无法提取私钥
• -P  <password>    直接输入导入项目密码，默认会使用GUI输入密码
• -a  指定键值对属性，可以重复出现多次
• -A    所有程序可以使用导入的项目 
• -T  指定可以使用导入项目的程序，可以重复出现多次

security create-keychain -p 123456  certsOfAppBuild.keychain
security unlock-keychain -p 123456 certsOfAppBuild.keychain
security -k certsOfAppBuild.keychain import xxx.p12 -P 111111  -T /usr/bin/codesign
...sign operation...
security delete-keychain certsOfAppBuild.keychian

查找认证实体（证书＋私钥）

find-identity [-p policy] [-s string] [-v] [keychain...]

• -p    按指定用途策略查找，可重复出现以指定多项，可用值有： basic, ssl-client, ssl-server, smime, eap, ipsec, ichat, codesigning, sys-default, sys-kerberos-kdc ,macappstore, appleID 
• -s   为-p指定的策略提供参数
• -v  只显示有效的，默认显示所有。
• 如果未指定keychain，则使用默认的搜索列表

security find-identity -v -p codesigning    #显示默认搜索列表中有效地认证实体

显示或设置钥匙串搜索列表

list-keychain [-d user|system|common|dynamic] [-s [keychain...]]

• -d    使用指定的preference domain
• -s    设置钥匙串搜索列表
• 不带任何参数时，显示搜索列表

加密/解密CMS信息（PKCS#7）

cms  [-CDES] [<options>]

• -C    创建CMS加密信息
• -D    解密CMS信息
• -E    创建CMS包裹信息
• -S    创建CMS签名信息

解密选项

• -c   <content_file>    使用分离的内容文件
• -h  <level>   生产带CMS消息信息的邮件头
• -n     压制内容输出

编码选项

• -r  id,...     为指定接收人创建包裹，id可以是certificate nickname或email adderess
• -G     包含签名时间属性
• -H  <hash_type>      可取值为：MD2, MD4, MD5, SHA1, SHA256, SHA384, SHA512，默认为SHA1
• -N  <certi_nickname>    使用指定的证书签名
• -P   包含SMIMECapabilities属性
• -T   CMS信息中不包含内容
• -Y  <certi_nickname>   包含指定证书的EncryptionKeyPreference属性，使用NONE忽略
• -Z  <hash>    使用主题ID查找证书

通用选项

• -e  <envelope>    指定envelope文件，结合-D, -E使用
• -k  keychain         指定使用的keychain
• -i  <infile>    从文件作输入数据，默认输入为stdin
• -o <outfile>   输出数据到文件，默认为stdout
• -p <password>   指定key db密码，默认会提示输入
• -s    逐字节传输数据
• -v    显示调试信息
• -u <certusage>   设置证书使用类型，默认为certUsageEmailSigner
  • 0  certUsageSSLClient
  • 1  certUsageSSLServer
  • 2  certUsageSSLServerWithStepUp
  • 3  certUsageSSLCA
  • 4  certUSageEmailSigner
  • 5  certUSageEmailRecipient
  • 6  certUsageObjectSigner
  • 7  certUsageUserCertImport
  • 8  certUsageVerifyCA
  • 9  certUsageProtectedObjectSigner
  • 10 certUsageStatusResponder
  • 11 certUsageAnyCA

security cms -D -i example.mobileprovision

原文：http://www.cnblogs.com/pixy/p/4817579.html