Hay dos posibles maneras de utilizar la CLI para comprobar la validez de los certificados:
- Usted tiene el certificado de archivos en un lugar accesible en su disco duro.
- Usted sólo tiene instalados, pero no se puede acceder al disco duro.
El número uno necesita un poco más de la CLI de trabajo, el número dos se puede hacer en línea y muestra la completa cadena de certificados.
-
Usted tiene el certificado de archivos en un lugar accesible en su disco duro.
Para comprobar el archivo de certificado, necesitamos saber en que formato están. Aquí está un ejemplo con un PEM formato de archivo:
openssl x509 -en el nombre de archivo de texto
También puede elegir el formato de entrada con
openssl x509 -inform PEM -in FILENAME -text
(PEM es el predeterminado)
Que le da una bastante larga de texto de salida en cada archivo de certificado y tiene que validar el emisor, de la CN, la fecha de caducidad de forma manual mediante la comparación de la CA o de certificados root. El segundo método se vienen más a la mano:
- Usted sólo tiene instalados, pero no se puede acceder al disco duro.
Usted puede utilizar el openssl s_client de comandos para validar la cadena completa.
openssl s_client -connect YOURSERVER:SSLPORT
Usted verá inmediatamente el certificado Y la root y de la cadena de openssl está diciendo que las fechas de caducidad y así sucesivamente. He aquí un ejemplo de mi página web personal:
openssl s_client -connect FQDN-DELETED:443
CONNECTED(00000005)
depth=2 O = Digital Signature Trust Co., CN = DST Root CA X3
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify return:1
depth=0 CN = FQDN-DELETED
verify return:1
---
Certificate chain
0 s:/CN=FQDN-DELETED
i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
1 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
i:/O=Digital Signature Trust Co./CN=DST Root CA X3
...
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIGUzCCBTugAwIBAgISA+Y4i63Ury6g85b3DghU9muyMA0GCSqGSIb3DQEBCwUA
...
-----END CERTIFICATE-----
subject=/CN=FQDN-DELETED
issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
---
No client certificate CA names sent
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 3742 bytes and written 322 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 4096 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : ECDHE-RSA-AES128-GCM-SHA256
...
Hay mucha más salida - sólo echar un vistazo. Me envían de vuelta a sus preguntas, si usted tiene.
