如何用OpenSSL验证数字证书

使用OpenSSL验证数字证书的步骤如下：

1. 获取证书文件

确保你拥有需要验证的数字证书文件（通常是.crt或.pem格式）。

2. 检查证书的有效性

使用以下命令检查证书的有效期：

openssl x509 -in certificate.crt -noout -dates

这将显示证书的开始日期和结束日期。

3. 验证证书链

如果证书是由中间证书签发的，你需要验证整个证书链。首先，获取所有相关的证书文件，包括根证书和中间证书。

然后，使用以下命令构建证书链并验证：

openssl verify -CAfile rootCA.pem -untrusted intermediateCA.pem certificate.crt

• -CAfile rootCA.pem：指定根证书文件。
• -untrusted intermediateCA.pem：指定中间证书文件（如果有）。
• certificate.crt：需要验证的证书文件。

如果证书链验证成功，你会看到类似以下的输出：

certificate.crt: OK

4. 检查证书签名

验证证书是否由可信的根证书签发：

openssl x509 -in certificate.crt -noout -issuer

这将显示证书的颁发者信息。然后，使用以下命令检查根证书：

openssl x509 -in rootCA.pem -noout -subject

比较这两个输出，确保证书的颁发者与根证书的主题匹配。

5. 检查证书的详细信息

使用以下命令查看证书的详细信息：

openssl x509 -in certificate.crt -noout -text

这将显示证书的所有详细信息，包括主题、颁发者、有效期、公钥等。

6. 验证证书的用途

检查证书的用途（例如，是否用于SSL/TLS通信）：

openssl x509 -in certificate.crt -noout -ext

这将显示证书的扩展字段，包括用途（如keyUsage、extendedKeyUsage等）。

7. 验证证书的吊销状态

如果需要，可以检查证书是否已被吊销：

openssl ocsp -issuer issuer.crt -cert certificate.crt -url http://ocsp.example.com

• -issuer issuer.crt：指定颁发者的证书文件。
• -cert certificate.crt：需要验证的证书文件。
• -url http://ocsp.example.com：OCSP响应器的URL。

通过以上步骤，你可以全面验证数字证书的有效性和可靠性。