在bash中使用openssl以编程方式根据链和任意时间戳验证证书（用于续订）

Question

我们使用bash脚本和openssl命令行工具来维护我们的内部PKI链，这是编写自动续订过程脚本时想到的第一件事：

is_cert_valid () {
    # pem cert, pem cert chain, timestamp
    local signed="$1" signer="$2" at_time="$3"
    openssl verify -attime "$at_time" -CAfile "$signer" "$signed"
    return $?
}

但是，openssl verify的退出代码并不反映给定证书的有效性，而是（据我所知）如果命令未能执行检查。

如何重写is_cert\u valid，使其在bash if语句中可用？假设不使用其他编程语言（如python或c）就可以实现这一点。

Answer 1

这种方法用于验证部分链，解析部分非常简单。它也适用于CAs，只需为签名者和被签名者传递相同的证书。

is_cert_valid () {
    local signer="$1" signed="$2" at_time_offset="$3" output
    if output="$(openssl verify \
                    -CApath /dev/null \
                    -attime "$(( "$at_time_offset" + "$(date +%s)" ))" \
                    -partial_chain \
                    -trusted "$signer" \
                    "$signed" \
            )" && 
        [[ "$output" == "$signed: OK" ]]; then
        return 0
    fi
    return 1
}