Come estrarre la CA principale e la CA secondaria da una catena di certificati in Linux?

Ho un certificato di entità / server che ha un certificato intermedio e radice. Quando ho catsul certificato entità finale, vedo solo un singolo BEGINe ENDtag. È l'unico certificato dell'entità finale.

Esiste un modo per visualizzare il contenuto del certificato intermedio e radice. Ho bisogno solo del contenuto BEGINe del ENDtag.

In Windows posso vedere l'intera catena di certificati dal "Percorso di certificazione". Di seguito è riportato l'esempio per il certificato di Stack Exchange.

Da lì posso eseguire un Visualizza certificato ed esportarli. Posso farlo sia per root che per intermedio in Windows. Sto cercando questo stesso metodo in Linux.

Da un sito Web, puoi fare:

openssl s_client -showcerts -verify 5 -connect stackexchange.com:443 < /dev/null

Ciò mostrerà la catena di certificati e tutti i certificati presentati dal server.

Ora, se salvo quei due certificati in file, posso usare openssl verify:

$ openssl verify -show_chain -untrusted dc-sha2.crt se.crt 
se.crt: OK
Chain:
depth=0: C = US, ST = NY, L = New York, O = "Stack Exchange, Inc.", CN = *.stackexchange.com (untrusted)
depth=1: C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert SHA2 High Assurance Server CA (untrusted)
depth=2: C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert High Assurance EV Root CA

L' -untrustedopzione viene utilizzata per fornire i certificati intermedi; se.crtè il certificato da verificare. Il risultato di profondità = 2 proviene dall'archivio della CA attendibile del sistema.

Se non si dispone dei certificati intermedi, non è possibile eseguire la verifica. Ecco come funziona X.509.

A seconda del certificato, può contenere un URI da cui ottenere l'intermedio. Ad esempio, openssl x509 -in se.crt -noout -textcontiene:

        Authority Information Access: 
            OCSP - URI:http://ocsp.digicert.com
            CA Issuers - URI:http://cacerts.digicert.com/DigiCertSHA2HighAssuranceServerCA.crt

L'URI di "CA Issuers" punta al certificato intermedio (in formato DER, quindi è necessario utilizzarlo openssl x509 -inform der -in DigiCertSHA2HighAssuranceServerCA.crt -out DigiCertSHA2HighAssuranceServerCA.pemper convertirlo per un ulteriore utilizzo da parte di OpenSSL).

Se esegui openssl x509 -in /tmp/DigiCertSHA2HighAssuranceServerCA.pem -noout -issuer_hash, ottieni 244b5494, che puoi cercare nell'archivio della CA principale di sistema in /etc/ssl/certs/244b5494.0(basta aggiungere .0al nome).

Non penso che ci sia un comando OpenSSL semplice e piacevole per fare tutto questo per te.

tl; dr - un liner bash magic per scaricare tutte le certs nella catena

openssl s_client -showcerts -verify 5 -connect de.wikipedia.org:443 < /dev/null | awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="cert"a".crt"; print >out}' && for cert in *.crt; do newname=$(openssl x509 -noout -subject -in $cert | sed -n 's/^.*CN=\(.*\)$/\1/; s/[ ,.*]/_/g; s/__/_/g; s/^_//g;p').pem; mv $cert $newname; done

Spiegazione in 2 passaggi

Per scaricare tutte le certs nella catena nella directory corrente come cert${chain_number}.pem:

openssl s_client -showcerts -verify 5 -connect your_host:443 < /dev/null | awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="cert"a".pem"; print >out}' 

bonus-track per rinominarli con il loro nome comune:

for cert in *.pem; do newname=$(openssl x509 -noout -subject -in $cert | sed -n 's/^.*CN=\(.*\)$/\1/; s/[ ,.*]/_/g; s/__/_/g; s/^_//g;p').pem; mv $cert $newname; done