Vérifier un certificat de la chaîne à l'aide d'openssl vérifier

De 'vérifier' documentation: "Si un certificat est constaté, qui est son propre émetteur, il est supposé être l'autorité de certification racine". En d'autres termes, l'autorité de certification racine besoins d'auto-signé pour vérifier le travail. C'est pourquoi votre deuxième commande n'a pas fonctionné.

Essayez plutôt ceci:

openssl verify -CAfile RootCert.pem -untrusted Intermediate.pem UserCert.pem

Il permettra de vérifier l'ensemble de votre chaîne en une seule commande.

Le problème, c'est que openssl -verify ne pas faire le travail.

Comme mentionné Priyadi, openssl -verify s'arrête à la première certificat auto-signé, par conséquent, vous n'avez pas vraiment vérifier la chaîne, comme c'est souvent l'intermédiaire cert est auto-signé.

Je suppose que vous voulez être de 101% sûr, que le certificat de fichiers sont corrects avant d'essayer de les installer dans la production de service web. Cette recette ici effectue exactement de cette pre-flight-case.

Veuillez noter que la réponse de Pierre est correct, cependant la sortie de openssl -verify est aucune idée de ce que tout vraiment oeuvres par la suite. Oui, il peut en trouver certains problèmes, mais pas tous.

Voici un script qui fait le travail de vérification d'un certificat de chaîne avant de l'installer dans Apache. Peut-être que cela peut être amélioré avec quelques-uns des plus mystique OpenSSL de la magie, mais je ne suis pas OpenSSL gourou et travaux suivants:

#!/bin/bash
# This Works is placed under the terms of the Copyright Less License,
# see file COPYRIGHT.CLL.  USE AT OWN RISK, ABSOLUTELY NO WARRANTY. 
#
# COPYRIGHT.CLL can be found at http://permalink.de/tino/cll
# (CLL is CC0 as long as not covered by any Copyright)

OOPS() { echo "OOPS: $*" >&2; exit 23; }

PID=
kick() { [ -n "$PID" ] && kill "$PID" && sleep .2; PID=; }
trap 'kick' 0

serve()
{
kick
PID=
openssl s_server -key "$KEY" -cert "$CRT" "$@" -www &
PID=$!
sleep .5    # give it time to startup
}

check()
{
while read -r line
do
    case "$line" in
    'Verify return code: 0 (ok)')   return 0;;
    'Verify return code: '*)    return 1;;
#   *)  echo "::: $line :::";;
    esac
done < <(echo | openssl s_client -verify 8 -CApath /etc/ssl/certs/)
OOPS "Something failed, verification output not found!"
return 2
}

ARG="${1%.}"
KEY="$ARG.key"
CRT="$ARG.crt"
BND="$ARG.bundle"

for a in "$KEY" "$CRT" "$BND"
do
    [ -s "$a" ] || OOPS "missing $a"
done

serve
check && echo "!!! =========> CA-Bundle is not needed! <========"
echo
serve -CAfile "$BND"
check
ret=$?
kick

echo
case $ret in
0)  echo "EVERYTHING OK"
    echo "SSLCertificateKeyFile $KEY"
    echo "SSLCertificateFile    $CRT"
    echo "SSLCACertificateFile  $BND"
    ;;
*)  echo "!!! =========> something is wrong, verification failed! <======== ($ret)";;
esac

exit $ret

Noter que la sortie après EVERYTHING OK est la configuration d'Apache, parce que les gens à l'aide de NginX ou haproxy généralement pouvez le lire et le comprendre parfaitement, trop 😉

Il y a un GitHub Gist de ce qui pourrait avoir des mises à jour

Les conditions préalables de ce script:

• Vous avez l'autorité de certification de confiance de la racine des données dans /etc/ssl/certs comme d'habitude, par exemple sur Ubuntu
• Créer un répertoire DIR où vous stockez les 3 fichiers:
  • DIR/certificate.crt qui contient le certificat
  • DIR/certificate.key qui contient la clé secrète pour votre webservice (sans phrase de passe)
  • DIR/certificate.bundle qui contient le CA-Bundle. Sur la façon de préparer le bundle, voir ci-dessous.
• Maintenant exécuter le script: ./check DIR/certificate (ce qui suppose que le script est nommé check dans le répertoire courant)
• Il y a un cas très improbable que le script sorties CA-Bundle is not needed. Cela signifie, que vous (lire: /etc/ssl/certs/) fait confiance au certificat de signature. Mais il est hautement improbable dans le WWW.
• Pour ce test port 4433 doivent être utilisés sur votre poste de travail. Et mieux seulement d'exécuter ce dans un environnement sécurisé, comme il ouvre le port 4433 peu de temps pour le public, qui pourrait voir étrangères se connecte dans un environnement hostile.

Comment créer le certificate.bundle fichier?

Dans le WWW de la chaîne de confiance ressemble généralement à ceci:

• certificat de confiance de /etc/ssl/certs
• inconnu certificat intermédiaire(s), éventuellement de la croix-signé par une autre autorité de certification
• votre certificat (certificate.crt)

Maintenant, l'évaluation a lieu à partir du bas vers le haut, cela signifie, en premier lieu, votre certificat est lu, puis l'inconnu certificat intermédiaire est nécessaire, alors peut-être la croix de signature de certificat et ensuite /etc/ssl/certs est consulté pour trouver le bon certificat de confiance.

Le ca-bundle doivent être réalisés dans exactement le bon traitement de commande, ce qui signifie que le premier certificat nécessaire à l' (le certificat intermédiaire qui signe le certificat) vient en premier dans le bundle. Ensuite, la croix-signature-cert est nécessaire.

Généralement de votre autorité de certification (l'autorité qui a signé votre certificat) fournira un bon ca-bundle-fichier. Si non, vous devez choisir les certificats intermédiaires et cat ensemble dans un seul fichier (sur Unix). Sur Windows, vous pouvez simplement ouvrir un éditeur de texte (comme notepad.exe) et collez-les certificats dans le fichier, le premier nécessaires sur le dessus et en suivant les autres.

Il y a autre chose. Les fichiers doivent être au format PEM. Certains CAs d'émission DER (binaire) format. PEM est facile à repérer: C'est l'ASCII lisible. Pour plus sur la façon de convertir quelque chose dans PEM, voir Comment faire pour convertir .crt pour .pem et suivre la route de briques jaunes.

Exemple:

Vous avez:

• intermediate2.crt l'intermédiaire cert, qui a signé votre certificate.crt
• intermediate1.crt un autre intermédiaire cert, qui a flambé intermediate2.crt
• crossigned.crt qui est une croix de signature de certificat auprès d'une autre autorité de certification qui a signé, intermediate1.crt
• crossintermediate.crt qui est un autre intermédiaire de l'autre autorité de certification qui a signé crossigned.crt (vous n'aurez probablement jamais voir une telle chose)

Puis à la bonne cat devrait ressembler à ceci:

cat intermediate2.crt intermediate1.crt crossigned.crt crossintermediate.crt > certificate.bundle

Et comment pouvez-vous trouver les fichiers qui sont nécessaires ou pas et dans quel ordre?

Bien, l'expérience, jusqu'à ce que le check vous dit tout est OK. C'est comme un ordinateur de jeu de puzzle à résoudre l'énigme. Tous les. Unique. Temps. Même pour les pros. Mais vous obtiendrez de meilleurs à chaque fois que vous avez besoin pour ce faire. Si vous êtes certainement pas seul avec toute la douleur. C'est le protocole SSL, ya' sais? SSL est probablement l'un des pires dessins que j'ai jamais vu en plus de 30 ans des professionnels de l'administration système. Jamais demandé pourquoi la crypto n'est pas devenu courant dans les 30 dernières années? C'est pourquoi. 'nuff said.

Après la coupure d'une journée entière sur exactement le même problème , n'ayant aucune connaissance préalable sur les certificats SSL, j'ai téléchargé le CERTivity Gestionnaire De Fichiers De Clés et importé mon fichier de clés à elle, et a obtenu une coupe à la visualisation de la chaîne de certificats.

Capture d'écran :