Openssl使用链接的CA和链接的证书进行验证

Question

我的证书链为： root CA -> intermediate CA -> org CA -> client Cert

当我使用CA作为root CA -> intermediate CA -> org CA验证客户端证书时，它可以工作：

$ cat org_1_ca/ca_crt.pem intermediate_ca/ca_crt.pem root_ca/ca_crt.pem > /tmp/test123.pem $ openssl verify -CAfile /tmp/test123.pem client/client_crt.pem client_crt.pem: OK

但是，当我将客户证书与org CA（ org CA -> client Cert ）链接在一起，并将其余链作为CA（ root CA -> intermediate CA ）时，它没有：

$ cat intermediate_ca/ca_crt.pem root_ca/ca_crt.pem > /tmp/test12.pem $ openssl verify -CAfile /tmp/test12.pem client/org1_client_crt.pem client/org1_client_crt.pem: C = US, ST = CA, L = LA, O = PP, OU = TEST, CN = user error 20 at 0 depth lookup:unable to get local issuer certificate

这是根本错误的事情还是openssl verify不喜欢的东西？ 我用nginx和openssl connect尝试了同样的事情，那里没有运气。 任何帮助表示赞赏。

Answer 1

openssl命令行verify操作仅从作为操作数给出的文件中读取一个证书 （第一个证书） ，或者如果给出多个证书 ，则从每个文件中读取 。 这与使用-CAfile -trusted -untrusted选项指定的文件不同，该文件可以（并且通常确实）包含多个证书。

您的文件client/org1_client_crt.pem大概包含该客户端证书和“ org CA”证书。 仅使用客户端证书，忽略“组织CA”证书，因此您没有有效的链来进行验证。

如果要使用命令行模拟/测试接收方（对于客户端证书，服务器）将执行的验证，请提供叶证书作为操作数，并提供所有其他传输的（链式）证书-untrusted ，以及anchor（ s）以及信任库中任何“已知”的中间对象，无论是显式的还是默认的。

没有openssl connect操作； 我假设您的意思是openssl s_client具有包括-connect选项，因为使用客户端证书链是一个合理的选择。 s_client的-cert选项类似地仅使用文件中的第一个证书。 除了最新版本1.1.0以外，命令行上没有用于指定客户端链的选项，即使没有文档也没有记录，因此尽管API /库很长，但您仍必须仔细阅读帮助消息或代码。为您编写的代码提供支持。

通过1.0.2，如果您想将具有完整链的客户端证书发送到服务器（按照RFC的规定），假设服务器请求的客户端身份验证不是通常的，也不是nginx的默认身份验证（除其他外），则使用技巧： 除了显式地使用-CAfile和/或-CApath或使用（根据需要进行修改） 以外 ， 还提供信任库中客户端链所需的所有证书，以及用于验证服务器的锚点。默认信任库，除非您的openssl是较旧的非RedHat版本，其中默认信任s_client s_server s_time仅在s_client s_server s_time 。

s_server的服务器cert / chain也是s_server只是它几乎总是使用而不是很少使用。