Affichage des détails d'un certificat SSL distant à l'aide des outils CLI

@HåkanLindqvist Parfait, j'ai probablement juste manqué le suffixe.

Notez que, alors que s_client imprimera toute la chaîne, la dernière commande pipée n'imprimera que les informations relatives au premier certificat.

J'ai pris cela et l'ai mis dans un simple bash script afin que vous puissiez interroger plusieurs domaines sans avoir à modifier la ligne de commande tout le temps. github.com/Valien/Bash-alicious/blob/master/ssl-query.sh

Comment l'adapter pour imprimer les détails de l'ensemble de la chaîne de certification ?

J'ai transformé ça en un script : github.com/Noah-Huppert/scripts/blob/master/sslinfo

Quel est le echo | pour ? Y a-t-il une partie de la commande qui attend une entrée de l'utilisateur ?

La commande openssl établit une connexion avec l'hôte de destination. Le site echo | envoie des données vides (je ne suis pas sûr de ce que c'est exactement :P) qui provoquent une réponse du serveur au lieu d'attendre simplement le timeout. Si vous essayez sans cela, vous obtiendrez toujours les résultats souhaités, mais vous serez bloqué pendant quelques secondes jusqu'à ce que la connexion soit terminée.

echo par lui-même est équivalent à echo '' il envoie une chaîne vide à stdout. cat /dev/null | fonctionnerait également et est un peu plus explicite.

Si vous souhaitez simplement connaître le date d'expiration vous pouvez remplacer -text avec -enddate vérifier les autres options ( openssl x509 help ).

(corrigé) @hemp : echo par lui-même sort un caractère de nouvelle ligne, puis quitte ce qui fait que le pipe retourne EOF à openssl, ce qui est en fait ce qui fait qu'openssl se termine. Redirection de avec </dev/null (ou Windows <NUL: mais pas sur les versions d'OpenSSL antérieures à 2016 environ, qui présentaient un bogue à cet endroit) fonctionne également et est, selon moi, encore meilleur.

J'avais une situation bizarre où j'utilisais ce script pour demander comme indiqué -servername smth.mydomain.com mais recevait un certificat pour un domaine différent (hébergé sur le même serveur). J'ai d'abord pensé que SSL était mal configuré sur le serveur, mais Chrome et Firefox voyaient correctement le certificat pour smth.mydomain.com J'en ai donc conclu que - cette commande ne montre pas vraiment l'image complète, ou qu'il y a plus à SNI et servername que de simplement les spécifier ici... (la solution curl de @AntonioFeitosa montre également ce domaine différent). Il semble qu'il montre ce qui est défini comme "certitude par défaut"...

Continue : ok, j'ai trouvé le coupable. En regardant la commande Shell ci-dessus, j'ai décidé que la dernière partie du tuyau "décodage des certs" n'était pas nécessaire :O et donc dans ma sortie je n'ai vu qu'un seul nom de CN default.mydomain.com ("domaine par défaut sur le cert"). Cependant, dans mon cas, le domaine avait plusieurs "noms alternatifs" comme smth.mydomain.com , blog.mydomain.com ). Ces noms ne sont visibles que lorsque vous décodez le certificat. Je pourrais aussi les voir en utilisant keytool méthode décrite ci-dessous par @dave_thompson_085 . J'espère que cela aidera quelqu'un.

Cette réponse a très bien fonctionné sur mon Mac pour me donner les détails d'un certificat local que j'avais pour une application sur laquelle j'essayais d'en savoir plus. J'ai trouvé les détails du certificat en utilisant la commande cat my-cert-file.pem | openssl x509 -inform pem -noout -text .

@entpnerd : openssl peut lire le fichier par lui-même en utilisant la fonction -in l'argument, et -inform pem est par défaut. C'est ce que j'utilise : function cert () { openssl x509 -text -noout -in "$1" | less -F } . Utilisez comme $ cert somefile.pem ($1 sera substitué au nom du fichier). Avec une fonction presque identique csr en remplaçant la sous-commande x509 avec req vous pouvez visualiser les demandes de signature de certificats.