openssl s_client-cert:证明客户端证书已发送到服务器

Question

我陷入了与一个带有SSL服务器和客户端证书保护的API的服务提供商的指指点点的匹配中。

• 我生成了一个CSR，从一个公共CA（本例中为GoDaddy）获得了一个证书，并将证书和CA链提供给服务提供商。
• 他们应该已将CA和我的客户端证书加载到他们的网关中。
• 我正在使用OpenSSL s_client-connect...-cert...-key...
进行最基本的测试
• 提供商告诉我，他们的日志建议我的请求根本不包括客户端SSL证书。
• 奇怪的是，在SSL握手期间提供的“可接受的客户端证书CA名称”列表中确实出现了我的证书的适当CA颁发者。
• 作为参考，我创建并提供给他们测试的自签名证书实际上可以正常工作。

[shell ~]$ openssl s_client -connect host:443 -cert cert_and_key.pem -key cert_and_key.pem -state -quiet
CONNECTED(00000003)
SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
SSL_connect:SSLv3 read server hello A
depth=2 **SNIP**
verify return:1
depth=1 **SNIP**
verify return:1
depth=0 **SNIP**
verify return:1
SSL_connect:SSLv3 read server certificate A
SSL_connect:SSLv3 read server key exchange A
SSL_connect:SSLv3 read server certificate request A
SSL_connect:SSLv3 read server done A
SSL_connect:SSLv3 write client certificate A
SSL_connect:SSLv3 write client key exchange A
SSL_connect:SSLv3 write certificate verify A
SSL_connect:SSLv3 write change cipher spec A
SSL_connect:SSLv3 write finished A
SSL_connect:SSLv3 flush data
SSL3 alert read:fatal:unknown CA
SSL_connect:failed in SSLv3 read finished A
140011313276744:error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca:s3_pkt.c:1197:SSL alert number 48
140011313276744:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake failure:s23_lib.c:184:

我读到的SSL3 alert read:fataly:unknown CA错误是服务器无法识别我（实际上）提供的证书的颁发者。但是，提供者向我“保证”CA证书已正确加载，而我却无法说服他们。

从openssls_client中是否有一些输出可以确凿地显示客户端证书不仅仅是由服务器请求的，而是在SSL握手过程中传输到服务器的？

我试用了-state、-msg、-debug和-trace选项，但没有解释输出所需的背景。

EJP的回答表明，我提供的示例输出已经足够证明写客户端证书a了，但是无论命令行中是否使用了-cert选项，都将出现此输出，因此它并不表示发送了证书。

Answer 1

为了验证客户端证书正在发送到服务器，您需要分析-state和-debug标志组合的输出。

首先作为基线，尝试运行

$ openssl s_client -connect host:443 -state -debug

您将得到大量的输出，但我们感兴趣的行看起来是这样的：

SSL_connect:SSLv3 read server done A
write to 0x211efb0 [0x21ced50] (12 bytes => 12 (0xC))
0000 - 16 03 01 00 07 0b 00 00-03                        .........
000c - <SPACES/NULS>
SSL_connect:SSLv3 write client certificate A

SSL_connect:SSLv3 read server done A  

write to 0x211efb0 [0x21ced50] (12 bytes => 12 (0xC))
0000 - 16 03 01 00 07 0b 00 00-03                        .........
000c - <SPACES/NULS>

最后，-state标志再次报告-debug刚才回显的步骤的结果：

SSL_connect:SSLv3 write client certificate A

换句话说:s_client完成了从服务器发送的数据读取，并将12个字节作为（我假定的）“无客户端证书”消息发送到服务器。

如果重复测试，但这次包含-cert和-key标志，如下所示：

$ openssl s_client -connect host:443 \
   -cert cert_and_key.pem \
   -key cert_and_key.pem  \
   -state -debug

SSL_connect:SSLv3 read server done A
write to 0x7bd970 [0x86d890] (1576 bytes => 1576 (0x628))
0000 - 16 03 01 06 23 0b 00 06-1f 00 06 1c 00 06 19 31   ....#..........1
(*SNIP*)
0620 - 95 ca 5e f4 2f 6c 43 11-                          ..^%/lC.
SSL_connect:SSLv3 write client certificate A