Ответ 1

Оказалось, что здесь сложнее: мне нужно было предоставить гораздо больше деталей, чтобы получить эту возможность. Я думаю, что это связано с тем, что его соединение, требующее аутентификации клиента, и ханкшак нуждалось в дополнительной информации, чтобы продолжить стадию, на которой были сброшены сертификаты.

Вот моя рабочая команда:

openssl s_client -connect host:port -key our_private_key.pem -showcerts \
                 -cert our_server-signed_cert.pem

Надеюсь, это подталкивание в правильном направлении для тех, кто может сделать с некоторой дополнительной информацией.

Ответ 2

С SNI

Если удаленный сервер использует SNI (то есть, обмениваясь несколькими хостами SSL на одном IP-адресе), вам нужно будет отправить правильное имя хоста, чтобы получить правильный сертификат.

openssl s_client -showcerts -servername www.example.com -connect www.example.com:443 </dev/null

Без SNI

Если удаленный сервер не использует SNI, вы можете пропустить параметр -servername:

openssl s_client -showcerts -connect www.example.com:443 </dev/null

Чтобы просмотреть полную информацию о сертификате сайта, вы также можете использовать эту цепочку команд:

$ echo | \
    openssl s_client -servername www.example.com -connect www.example.com:443 2>/dev/null | \
    openssl x509 -text

Ответ 3

Пока я согласен с ответом Ari (и поддерживал его:), мне нужно было сделать дополнительный шаг, чтобы заставить его работать с Java в Windows (где его нужно было развернуть):

openssl s_client -showcerts -connect www.example.com:443 < /dev/null | openssl x509 -outform DER > derp.der

Прежде чем добавлять преобразование openssl x509 -outform DER, я получал сообщение об ошибке с помощью keytool на Windows, ссылаясь на формат сертификата. Импорт файла .der работал нормально.

Ответ 4

Простейшая командная строка для этого, которая включает вывод PEM для добавления его в хранилище ключей, а также считываемый человеком вывод, а также поддерживает SNI, что важно, если вы работаете с HTTP-сервером:

openssl s_client -servername example.com -connect example.com:443 \
    </dev/null 2>/dev/null | openssl x509 -text

Параметр -servername должен включить поддержку SNI, а opensl x509 -text распечатывает сертификат в формате для чтения.

Ответ 5

Однострочное извлечение сертификата с удаленного сервера в формате PEM, на этот раз с использованием sed:

openssl s_client -connect www.google.com:443 2>/dev/null </dev/null |  sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

Ответ 6

Чтобы получить сертификат удаленного сервера, вы можете использовать инструмент openssl, и вы можете найти его между BEGIN CERTIFICATE и END CERTIFICATE, который вам нужно скопировать и вставить в файл сертификата (CRT).

Вот команда, демонстрирующая это:

ex +'/BEGIN CERTIFICATE/,/END CERTIFICATE/p' <(echo | openssl s_client -showcerts -connect example.com:443) -scq > file.crt

Чтобы вернуть все сертификаты из цепочки, просто добавьте g (global) как:

ex +'g/BEGIN CERTIFICATE/,/END CERTIFICATE/p' <(echo | openssl s_client -showcerts -connect example.com:443) -scq

Затем вы можете просто импортировать файл сертификата (file.crt) в свою цепочку ключей и сделать его доверенным, поэтому Java не должен жаловаться.

В OS X вы можете дважды щелкнуть файл или перетащить свой доступ к Keychain Access, чтобы он появился в login/Certificates. Затем дважды щелкните импортированный сертификат и сделайте его всегда надежным для SSL.

В CentOS 5 вы можете добавить их в файл /etc/pki/tls/certs/ca-bundle.crt (и запустить: sudo update-ca-trust force-enable) или в CentOS 6 скопировать их в /etc/pki/ca-trust/source/anchors/ и запустить sudo update-ca-trust extract.

В Ubuntu скопируйте их в /usr/local/share/ca-certificates и запустите sudo update-ca-certificates.

Ответ 7

HOST=gmail-pop.l.google.com
PORT=995

openssl s_client -servername $HOST -connect $HOST:$PORT < /dev/null 2>/dev/null | openssl x509 -outform pem

Ответ 8

Вы можете получить и сохранить корневой сертификат сервера, используя следующий bash script:

CERTS=$(echo -n | openssl s_client -connect $HOST_NAME:$PORT -showcerts | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p')
echo "$CERTS" | awk -v RS="-----BEGIN CERTIFICATE-----" 'NR > 1 { printf RS $0 > "'$SERVER_ROOT_CERTIFICATE'"; close("'$SERVER_ROOT_CERTIFICATE'") }'

Просто перезапишите требуемые переменные.

Ответ 9

для печати только цепочки сертификатов, а не сертификата сервера:

# MYHOST=myhost.com
# MYPORT=443
# openssl s_client -connect ${MYHOST}:${MYPORT} -showcerts 2>/dev/null </dev/null | awk '/^.*'"${MYHOST}"'/,/-----END CERTIFICATE-----/{next;}/-----BEGIN/,/-----END CERTIFICATE-----/{print}'

для обновления доверия CA на CentOS/RHEL 6/7:

# update-ca-trust enable
# openssl s_client -connect ${MYHOST}:${MYPORT} -showcerts 2>/dev/null </dev/null | awk '/^.*'"${MYHOST}"'/,/-----END CERTIFICATE-----/{next;}/-----BEGIN/,/-----END CERTIFICATE-----/{print}' >/etc/pki/ca-trust/source/anchors/myca.cert
# update-ca-trust extract

на CentOS/RHEL 5:

# openssl s_client -connect ${MYHOST}:${MYPORT} -showcerts 2>/dev/null </dev/null | awk '/^.*'"${MYHOST}"'/,/-----END CERTIFICATE-----/{next;}/-----BEGIN/,/-----END CERTIFICATE-----/{print}' >>/etc/pki/tls/certs/ca-bundle.crt

Ответ 10

В интересах других, подобных мне, которые пытались следовать хорошему совету при доступе AWS CloudFront, но не удалось, трюк заключается в том, чтобы добавить -servername domain.name...

Источник: https://serverfault.com/a/780450/8972

Ответ 11

Если ваш сервер является сервером электронной почты (MS Exchange или Zimbra), возможно, вам нужно добавить флаги starttls и smtp:

openssl s_client -starttls smtp -connect HOST_EMAIL:SECURE_PORT 2>/dev/null </dev/null | sed -ne ' / -BEGIN CERTIFICATE-/, / -END CERTIFICATE-/p' > CERTIFICATE_NAME.pem

Куда,

• HOST_EMAIL - это домен сервера, например, mail-server.com.

• SECURE_PORT - порт связи, например, 587 или 465

• Выходное имя файла CERTIFICATE_NAME (формат BASE 64/PEM)