Bagaimana saya bisa memverifikasi sertifikat SSL pada baris perintah?

Saya mencoba memvalidasi / memverifikasi bahwa kunci rsa, bundel, dan sertifikat yang disimpan di sini baik-baik saja. Mereka tidak dilayani oleh server web. Bagaimana saya bisa memverifikasi mereka?

command-line ssl openssl

— xenoterracide
sumber

Lihatlah bagian openssl x509manual.

— alex

Manual verifikasi OpenSSL dapat membantu Anda di sini. Juga, lihat halaman ini memiliki beberapa contoh yang sangat baik.

— Stefan Lasiewski

Jawaban:

Dengan asumsi sertifikat Anda dalam format PEM, Anda dapat melakukan:

openssl verify cert.pem

Jika "ca-bundle" Anda adalah file yang berisi sertifikat perantara tambahan dalam format PEM:

openssl verify -untrusted ca-bundle cert.pem

Jika openssl Anda tidak diatur untuk secara otomatis menggunakan satu set sertifikat root yang diinstal (misalnya di /etc/ssl/certs), maka Anda dapat menggunakan -CApathatau -CAfileuntuk menentukan CA.

— Andy
sumber

Peringatan, perintah openssl memverifikasi lebih permisif daripada yang Anda harapkan! Secara default, selain memeriksa CAfile yang diberikan, ia juga memeriksa CA yang cocok dalam direktori sertifikat sistem, misalnya / etc / ssl / certs. Untuk mencegah perilaku ini dan memastikan Anda memeriksa sertifikat CA khusus yang diberikan oleh CAfile, Anda juga harus memberikan opsi -CApath dengan direktori yang tidak ada, misalnya: openssl memverifikasi -verbose -CApath nosuchdir -CAfile cacert.pem server .crt

— DSimon

Satu peringatan lebih lanjut: Jika Anda menggunakan -CApath nosuchdirkombinasi server.crt dan cacert.pem harus menyertakan root CA; Jika openssl hanya dapat bekerja sampai CA menengah dengan file-file itu maka itu akan mengeluh.

— DSimon

Dikatakan tidak ada file seperti itu di /certs/. apakah ini akan menyebabkan masalah? karena saya ditumpuk dalam situasi di mana server saya bekerja, http curl bekerja, tetapi https .. curl mendapat kesalahan. di mana situs web berhenti berfungsi.

— Giorgi Gvimradze

Berikut ini adalah satu-liner untuk memverifikasi rantai sertifikat:

openssl verify -verbose -x509_strict -CAfile ca.pem -CApath nosuchdir cert_chain.pem

Ini tidak perlu menginstal CA di mana pun.

Lihat https://stackoverflow.com/questions/20409534/how-does-an-ssl-certificate-chain-chain-bundle-work untuk detailnya.

— Vadzim
sumber

Peringatan, opsi -CAfile lebih permisif daripada yang Anda harapkan. Lihat komentar saya pada jawaban yang diterima untuk detailnya.

— DSimon

@ Dimon, saya menambahkan -CApath nosuchdirini untuk menjawab. Terima kasih.

— Vadzim

Tidak masalah, senang membantu. :-) Satu peringatan yang saya temukan setelah memposting komentar saya sebelumnya: jika file yang ditentukan -CAfileitu sendiri hanya merupakan sertifikat perantara, maka openssl akan mengeluh. Ini adalah perilaku yang benar, karena verifymembutuhkan rantai lengkap sampai ke root CA, tetapi bisa menyesatkan.

— DSimon

Versi saya ( OpenSSL 1.1.1 11 Sep 2018) membutuhkan argumen -CApathuntuk menjadi direktori yang ada.

— Jake Cobb