列出所有可用的 ssl ca 证书

Question

我的 git 客户声称

error: Peer's Certificate issuer is not recognized.

这意味着它无法在全局系统密钥环中找到相应的 ssl 服务器密钥。我想通过查看gentoo linux 系统上所有系统范围内可用的 ssl 密钥列表来检查这一点。我怎样才能得到这个列表？

Answer 1

您想要的不是 SSL 密钥，而是证书颁发机构，更准确地说是他们的证书。

你可以试试：

awk -v cmd='openssl x509 -noout -subject' '
    /BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt

获取每个 CA 证书的“主题” /etc/ssl/certs/ca-certificates.crt

请注意，有时，当 SSL 服务器忘记提供中间证书时，您会收到该错误。

使用openssl s_client -showcerts -connect the-git-server:443获得证书发送列表。

Answer 2

不确定 Gentoo，但大多数发行版将他们的证书软链接放在系统范围内的/etc/ssl/certs.

• 密钥文件进入 /etc/ssl/private
• 系统提供的实际文件位于 /usr/share/ca-certificates
• 自定义证书进入 /usr/local/share/ca-certificates

每当您将证书放在上述路径之一中时，请运行update-ca-certificates以更新/etc/ssl/certs列表。

Answer 3

我需要列出我们服务器上的所有证书并通知它们是否到期。我们想出了这个命令：

locate .pem | grep "\.pem$" | xargs -I{} openssl x509 -issuer -enddate -noout -in {}