使用OpenSSL CLI从x509证书获取链或CA颁发者

Question

我试图使用OpenSSL从证书中构建一个链（或者只是从某个地方获取它），最好使用命令行界面。

我在internet上找到了一些例子，但我被这样一个问题所困扰：“我从哪里获得证书的CA颁发者？”

例如，检查本网站的openssl命令cheatsheet，您会发现该命令

openssl s_client-showcerts-host example.com-端口443

因此，我不能直接从证书中获得链，但我应该向某处索取链。

现在我的问题是：我从哪里获得主机名，我可以在哪里发送对链的请求？

我看了两张证书。

1. StackExchange.com
2. Google.com

使用openssl，我可以使用以下命令询问发行者：

openssl x509-incertfile-noout-isslisher

而我分别得到

1. 发行方=c=美国，O=让我们加密，CN=让我们加密权限x3
2. issuer=c=美国，O=谷歌信托服务，CN=GTS CA 1o1

老实说，我不知道如何处理这些结果....

然后，用命令调查

openssl x509-text-in certFile

我找到了友邦保险的扩展：

null

但是使用google，我不知道如何使用OpenSSL....我可能可以使用wget，但我没有从StackExchange获得的相同格式...

所以，最后，我的问题是：

• 如何处理这些差异？
• 是否有更好的方法从证书中获取链，而不要求CA颁发者？
• CA颁发者是AIA的扩展，我认为它不是强制性的，我可以依赖它吗？
• 如何使用openssl获取CA颁发者，而无需自己解析输出？（类似于openSSL x509-causser-in certfile)

PS：我在最后试图实现的是验证一个证书，遍历完整的证书链，并检查链中每个证书的所有OCSP或CRL......如果您有C++中的工作示例，或者只是使用OpenSSL CLI，我将非常感激：）

编辑：

我现在正在做的是自己创建链。

使用AIA扩展，我获取CA颁发者URI，下载CA颁发者证书（如果需要，转换为PEM)，等等，直到我再也找不到CA颁发者。那么，很可能是根CA。

之后，我手动收集所有的pem并创建链。

Answer 1

我知道这有点老了，已经解决了，但我想我应该添加一个小脚本，从x509输出中解析出CA颁发者：

getcaissuer() {
openssl x509 -noout -text -in $1 | awk '/^[ \t]+CA Issuers[ \t]+-[ \t]+URI:/ { print gensub(/^.*URI:(.*)$/,"\\1","g",$0); }'
}

# usage:  getcaissuer <certificate>