linux - openssl 验证和 s_client 命令之间的差异

Question

使用 OpenSSL 1.0.1l 在 Ubuntu 14.04 上运行:

 openssl s_client -CApath /etc/ssl/certs -showcerts -connect www.google.com:443

返回:

Verify return code: 0 (ok)

然而，运行:

openssl verify -CApath /etc/ssl/certs/ google_chain.pem

其中 google_chain.pem 是上面 s_client 命令的输出，返回:

google_chain.pem: C = US, ST = California, L = Mountain View, O = Google Inc, CN = google.com
error 20 at 0 depth lookup:unable to get local issuer certificate

有人可以解释这种差异吗？在我看来，openssl verify 命令只是忽略了 -CApath 参数。

Answer 1

openssl verify 不希望证书包含其链。 Chain 需要通过 -untrusted 参数传递。您可以在那里传递相同的文件，信任仍然通过在 -CAfile/-CApath 中找到受信任的根来确定。

openssl verify -CApath /etc/ssl/certs -untrusted google_chain.pem google_chain.pem