ssl - 使用 OpenSSL S_Server 验证传入的 SSL

Question

我们希望使用开放式 ssl 进行双向证书身份验证。

当我们如下打开 s_server 时，客户端就可以连接到我的服务器了:

openssl s_server -accept 12345 -cert our-cert.pem

(our-cert.pem 是我们的证书。)

这很好用。但是，我的要求是:

1. 通过受信任的 CA 验证传入证书是否有效，以及
2. 验证通用名称是否符合我们的预期。

我试过这个:

openssl s_server -accept 12345 -cert our-cert.pem -CApath /etc/ssl/certs/

这允许客户端连接。但我的问题是:

1. 我如何确定它正在验证传入的 SSL 是否有效并由 CA 颁发？
2. 如何验证通用名称是否符合我的预期？

Answer 1

对于服务端，需要加上“-Verify”选项，强制客户端提供证书。深度是客户端证书链的最大长度。

这应该解决问题 #1。

对于 #2，我不确定是否有使用这些 OpenSSL 命令按通用名称进行限制的方法。

您可以在此处查看服务器/客户端命令的 OpenSSL 文档:

s_server

s_client