Como verificar o certificado assinado?

Question

Eu tenho dois certificados SSL:

• Um para snipsalonsoftware.com , que está atualmente em vigor e funcionando corretamente.
• Um para app.snipsalonsoftware.com que foi comprado mas ainda não está instalado.

O que estou tentando fazer agora é simplesmente verificar a validade do certificado snipsalonsoftware.com para que, quando eu tentar verificar o app.snipsalonsoftware.com , eu saiba que estou obtendo uma resposta significativa.

Este é um certificado assinado profissionalmente pela Comodo por meio do DreamHost, não um certificado autoassinado. Como posso verificar a cadeia de confiança usando openssl ou algum outro método?

Veja o que eu recebo agora quando tento:

$ openssl verify domain.pem 
domain.pem: /OU=Domain Control Validated/OU=Provided by New Dream Network, LLC/OU=DreamHost Basic SSL/CN=snipsalonsoftware.com
error 20 at 0 depth lookup:unable to get local issuer certificate

Mas para mim é como duh, é claro que você não pode obter o certificado local - não há um. Não sei como devo verificar um certificado assinado profissionalmente.

    

Answer 1

Geralmente, isso significa que o caminho da CA padrão do OpenSSL não contém o certificado que assinou o que você está verificando, geralmente um certificado intermediário.

Você precisará obter uma cópia do intermediário (a maioria das CAs fornecerá, ou poderá buscá-la a partir de uma conexão SSL cuja confiança esteja funcionando) e apontar para ela no comando openssl com -CAfile intermediate.pem .

    

Answer 2

Você deve conseguir baixar do seu provedor todos os certificados que formam a cadeia de confiança do seu certificado assinado para a Autoridade de Certificação de assinatura.

Em seguida, use openssl verify usando esses certificados. Verifique as opções -CAfile e -CApath do comando verify(1) para saber como.

    

Answer 3

Você também pode usar uma ferramenta on-line como SSL-Checker , que mostra graficamente a cadeia de confiança que seu servidor está apresentando e ajuda você a descobrir quais certificados estão faltando na cadeia

    

Answer 4

Você deve cat todas as certs para o final CA_Chain.crt:

:~$ cat RootCA.crt IntermediateCert1 IntermediateCert2 > CA_Chain.crt

:~$ openssl verify -CAfile CA_Chain.crt website.crt

(website.crt sign by IntermediateCert2)