检查SSL自签名证书的有效性

Question

/bin/bash -c 'openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 5 -nodes

并检查证书，有效期为5天。

我需要写一个脚本，它将只是检查这个证书的过期日期，但不幸的是，它不能验证它。你能不能换个正确的流量？

我的程序：

package main

import (
    "crypto/x509"
    "encoding/pem"
    "fmt"
)

func main() {
  const certPEM = `
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----`
  block, _ := pem.Decode([]byte(certPEM))
  if block == nil {
    panic("failed to parse certificate PEM")
  }
  cert, err := x509.ParseCertificate(block.Bytes)
  if err != nil {
    panic("failed to parse certificate: " + err.Error())
  }
  opts := x509.VerifyOptions{
    DNSName: "test.com",
  }
  if _, err := cert.Verify(opts); err != nil {
    panic("failed to verify certificate: " + err.Error())
  }
  fmt.Println("correct")
}

Answer 1

由于它是一个自签名证书，您可以将该证书作为根之一来验证它：

  // Create the cert pool
  roots := x509.NewCertPool()
  ok := roots.AppendCertsFromPEM([]byte(certPEM))
  if !ok {
    panic("failed to parse root certificate")
  }

  ...

  // Use the pool in the verify options:
  opts := x509.VerifyOptions{
    DNSName: "test.com",
    Roots:   roots,
  }

  ...

没有通过一个池，Go将使用系统池，这肯定不会工作。通过添加证书本身，可以为受信任的根生成有效路径。它还将验证证书的其余部分（名称和有效时间范围）。

这在Certificate.Verify的文档中有更详细的解释。