打开电脑，你访问任何一个https开头的网站，背后都有openssl在默默工作。它是一套开源的加密库，全称是Open Secure Sockets Layer，但别被这名字唬住——它干的活远不止SSL协议那点事。简单说，它就是数字世界里的锁匠和保险箱制造商。

你网购时输入银行卡号，浏览器地址栏出现一把小锁，那是openssl在帮你把数据加密成密文。这段密文在网络上传输，就算被黑客截获，看到的也只是一堆乱码。没有它，你在淘宝上每点一次"立即支付"，都相当于把银行卡密码写在明信片上寄出去。我前几年调试一个内部系统时，亲眼见过没配openssl的HTTP明文流量包，用户名密码就那么赤裸裸地躺在那里，跟没穿衣服似的。

它另一个看家本领是生成证书。网站要证明"我是我"，得向CA机构申请一张数字证书，而openssl就是那把签发证书的刻章机。你甚至可以自己当CA，用openssl给自家内网设备签发证书——我就在实验室里这么干过，给一台树莓派签了个十年期的证书，省去了浏览器每次弹红框警告的麻烦。当然，这活儿需要点命令行功底，但一旦上手，你会发现自己像个掌控数字身份的神。

openssl还负责握手协议。当你的电脑和服务器第一次打招呼时，它们得商量用哪种加密算法、交换密钥——这个过程就像两个间谍在接头，先对暗号，再传情报。而openssl就是那本暗号手册，里面收录了从RSA到ECC、从AES到ChaCha20的各种招式。有时候版本太旧，手册里缺了新招式，老服务器和新浏览器就谈不拢，直接罢工——这种兼容性头疼事，干运维的人肯定懂。

说句实话，openssl的代码质量一直被人吐槽。心脏出血漏洞（Heartbleed）那会儿，全球一大半网站的加密密钥都可能泄露，程序员们连夜打补丁的场景我还记得。但骂归骂，你找不到更好的替代品。LibreSSL、BoringSSL都是它的分支，可江湖地位摆在那儿——就好比Linux内核虽然bug多，但全世界服务器还是得靠它撑着。

最妙的是，这玩意儿是免费的。C语言写的，三十多年了，一群志愿者在维护。你用的每个https页面，背后都有这群人在帮你守着加密防线。下次看到那个小锁图标，你可以默默对它点个头——那里面，有openssl的一份功劳。

(责任编辑：热点)