有沒有辦法檢查SSL數字證書是否有效，而無需在Web服務器上安裝？

Question

在安裝到目標Web服務器之前是否有任何工具或機制可以幫助驗證CA頒發的SSL證書？

Answer 1

是的，您可以使用openssl使用s_server命令爲您的證書創建一個測試服務器。這將創建一個響應HTTP請求的端口8080上最小的SSL/TLS服務器：

openssl s_server -accept 8080 -www -cert yourcert.pem -key yourcert.key -CAfile chain.pem 

yourcert.pem是X.509證書，yourcert.key是你的私鑰和chain.pem包含信任鏈您的證書和根證書之間。你的CA應該給你yourcert.pem和chain.pem。

然後使用OpenSSL的的s_client.First建立連接：

openssl s_client -connect localhost:8080 -showcerts -CAfile rootca.pem 

或Linux上：

openssl s_client -connect localhost:8080 -showcerts -CApath /etc/ssl/certs 

注意：該命令不驗證主機名的CN（通用名）相匹配或您的證書的SAN（subjectAltName）。 OpenSSL還沒有任務的例程。它將被添加到OpenSSL 1.1中。

Answer 2

驗證您的CA頒發的SSL的最佳和最簡單的方法是對其進行解碼。

這裏是一個有用的鏈接將幫助你做到這一點：http://www.sslshopper.com/csr-decoder.html

希望這有助於！