如何使用默认 CA 制作 openssl s_client

Question

有没有办法配置 openssl，以便在未指定 -CAfile 选项的情况下运行 s_client 命令时使用一些默认 CA 文件（例如/etc/ssl/certs/ca-certificates.crt）？

Answer 1

配置文件不是答案。它使用带方括号的行组织成部分，如[default_CA]和[req_exts]。所有openssl子命令都会读取一些部分（对于引擎和 addOID），但除此之外，仅使用适用于特定子命令的部分和有时该子命令的模式，并且没有此类部分适用于s_client.

该库SSL_CTX_default_verify_paths为应用程序提供了一个例程来调用（我相信许多/大多数其他应用程序都这样做）并且那里使用的位置确实依赖于系统（或打包程序）编辑：或者也可以通过环境变量设置。但是 s_client.c 仅调用此例程如果您确实指定了至少一个有效的 -CA{file,path} 参数，则不这样做，这似乎无济于事。有一张 2010 年的票，没有显示任何操作。