如何通过openssl检索证书链

Question

我必须从remore服务器检索并下载本地环境证书链。我可以使用浏览器嵌入式服务来实现，但据我所知，这种方法对证书链不起作用（或者有一些瓶颈）。这就是我试图使用openssl以下命令的原因：

openssl s_client-showcerts-connect host.host:9999

它将打印出相应的证书信息,如：

CONNECTED(0000015C)
depth=1 /C=US/O=Google Inc/CN=Google Internet Authority
verify error:num=20:unable to get local issuer certificate
verify return:0
---
Certificate chain
 0 s:/C=US/ST=California/L=Mountain View/O=Google Inc/CN=google.com
   i:/C=US/O=Google Inc/CN=Google Internet Authority
-----BEGIN CERTIFICATE-----
MIIcFzCCG4CgAwIBAgIGR09PUAFxMA0GCSqGSIb3DQEBBQUAMEYxCzAJBgNVBAYT
-----END CERTIFICATE-----
 1 s:/C=US/O=Google Inc/CN=Google Internet Authority
   i:/C=US/O=Equifax/OU=Equifax Secure Certificate Authority
-----BEGIN CERTIFICATE-----
MIICsDCCAhmgAwIBAgIDC2dxMA0GCSqGSIb3DQEBBQUAME4xCzAJBgNVBAYTAlVT
-----END CERTIFICATE-----
---
Server certificate
subject=/C=US/ST=California/L=Mountain View/O=Google Inc/CN=google.com
issuer=/C=US/O=Google Inc/CN=Google Internet Authority
---
No client certificate CA names sent
---
SSL handshake has read 8040 bytes and written 310 bytes 

我怎样才能将它转换为.crt或.cer格式？我可以只复制/粘贴到文本文件的适当扩展名吗？如果是，链的起点和终点在哪里？

Answer 1

我不知道你所说的“.crt”或“.cer”格式到底是什么意思。如果您在-begin certificate----和-end certificate----之间复制这些输出片段，并将它们保存到一个文本文件中，您将得到一个PEM格式的证书链文件（openssl的默认格式）。您的文件应该如下所示（链中有2个证书）：

-----BEGIN CERTIFICATE-----
MIIF/DCCBWWgAwIBAgIKUCYyawAAAAB1rzANBgkqhkiG9w0BAQUFADBGMQswCQYD
<the rest of the certificate 1>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIICsDCCAhmgAwIBAgIDC2dxMA0GCSqGSIb3DQEBBQUAME4xCzAJBgNVBAYTAlVT
<the rest of the certificate 2>
-----END CERTIFICATE-----