如何将 CRL 提供给 openssl s_client？

Question

我正在使用测试服务器测试证书吊销。我试图使用openssl s_client与crl_check参数测试撤销。我已将 ca 证书附加到我在CAfile参数中给出的链文件中。

使用命令：

openssl s_client -connect <host>:<port> -crl_check -cert cert.pem \
-key key.pem -CAfile ca_chain.pem -state -verify_return_error debug

我得到一个回应：

Verify return code: 3 (unable to get certificate CRL)

这很自然，因为我不提供 CRL。

我应该如何将 CRL（服务器证书被吊销的地方）提供给 openssl s_client以在协商中检查证书吊销？

Answer 1

使用 1.02 你应该能够做到这一点。从变更日志：

*) New options -CRL and -CRLform for s_client and s_server for CRLs.
   [Steve Henson]

在该行为之前的版本中，该行为没有记录：如果您使用带有-CAfile. 如果您使用的是目录，-CApath则会 变得更加困难。