如何用OpenSSL为特定主机签名二进制文件并绑定运行权限？

绝对可以实现！用OpenSSL的签名机制结合主机的唯一硬件标识，完全能把你的二进制程序绑定到单台PC上运行。我来针对你的问题详细拆解，一步步说明怎么做：

其实就是把主机的唯一不可篡改标识（比如主板序列号、TPM芯片ID）作为验证环节的核心依据——签名时把这个标识和二进制文件绑定在一起，验证时先提取本地主机的标识，再和签名中嵌入的信息比对，只有匹配才允许程序运行。

1. -subj 选项的实际用法 #

-subj本身是用来指定X.509证书/证书请求的主题字段（比如CN、O这类标识），它不能直接在dgst（哈希签名）命令里添加主机信息，但可以通过生成包含主机标识的证书，再用该证书签名二进制文件的方式间接实现绑定：

# 1. 先生成包含主机序列号的证书请求（假设主机序列号是PC-123456）
openssl req -new -key private.key -subj "/CN=PC-123456" -out host_cert.csr

# 2. 自签证书（内部使用场景足够）
openssl x509 -req -in host_cert.csr -signkey private.key -out host_cert.crt -days 365

# 3. 用这个绑定了主机ID的证书签名二进制文件
openssl smime -sign -in your_app.exe -out app_signed.exe -signer host_cert.crt -inkey private.key -binary

验证时，你可以先解析证书中的CN字段，再和本地主机的序列号比对，同时验证签名的合法性。

2. Serial Number的用法 #

这里的Serial Number有两种实用方式：

• 证书序列号：生成证书时可以用-set_serial指定一个和主机标识对应的序列号，比如把主机硬件ID转成十六进制作为证书序列号：

openssl x509 -req -in host_cert.csr -signkey private.key -out host_cert.crt -days 365 -set_serial 0x1A2B3C4D

验证时读取证书的序列号，再和本地主机的ID做映射比对。

• 主机硬件序列号：直接把主机的硬件序列号（比如主板、硬盘的序列号）作为额外数据，和二进制文件一起签名，这也是更直接的绑定方式。

步骤1：获取目标主机的唯一标识（以Windows为例） #

# 获取主板序列号并清理输出
wmic csproduct get identifyingnumber | findstr /v IdentifyingNumber > host_serial.txt

Linux/macOS可以用dmidecode -s system-serial-number或ioreg -l | grep IOPlatformSerialNumber获取。

步骤2：生成签名密钥对（如果没有的话） #

openssl genrsa -out private_key.pem 2048
openssl rsa -in private_key.pem -pubout -out public_key.pem

步骤3：绑定主机标识并签名二进制文件 #

# 将主机序列号和二进制文件合并后，用私钥签名
openssl dgst -sha256 -sign private_key.pem -out app_signature.sig <(cat your_app.exe host_serial.txt)

步骤4：目标PC上的验证流程 #

# 1. 获取本地主机序列号
wmic csproduct get identifyingnumber | findstr /v IdentifyingNumber > local_serial.txt

# 2. 验证签名：合并本地序列号和二进制，用公钥验证
openssl dgst -sha256 -verify public_key.pem -signature app_signature.sig <(cat your_app.exe local_serial.txt)

如果输出Verified OK，就允许程序运行；否则直接终止。

• 选不易篡改的主机标识：优先用主板序列号、TPM芯片ID这类硬件级别的标识，避免用户通过修改系统设置绕过绑定。
• -subj不是直接绑定的工具，但可以通过证书主题字段间接关联主机信息，适合需要证书体系的场景。
• 这种方案是软件层面的验证，无法完全防止专业破解，但能满足普通的授权绑定需求。

内容的提问来源于stack exchange，提问作者sarjoon