openssl - crear - verificar certificados en linux

openssl verificar-error 20 en 0 búsqueda en profundidad: no se puede obtener el certificado del emisor local

Question

Creé un certificado PEM a partir de un certificado PFX y quería verificarlo. Sin embargo, me encontré con este problema, intento encontrar algunas respuestas, pero no lo hice y, por lo tanto, no sé cómo solucionarlo. ¿podría por favor consejo? muchas gracias.

C:/OpenSSL-Win32/bin>set OPENSSL_CONF=C:/OpenSSL-Win32/bin/openssl.cfg
C:/OpenSSL-Win32/bin>openssl
OpenSSL> verify C:/mycert.pem
C:/mycert.pem: C = CZ, ST = Sprava zakladnich registru, L = "Obec=Praha,Ulice=Na Vapence,PSC=13000", O = 72054506, OU = 4333, CN = tstcawilly.szr.local
error 20 at 0 depth lookup:unable to get local issuer certificate
error in verify
OpenSSL>
OpenSSL> verify -CAfile C:/mycert.pem C:/mycert.pem
C:/mycert.pem: C = CZ, ST = Sprava zakladnich registru, L = "Obec=Praha,Ulice=Na Vapence,PSC=13000", O = 72054506, OU = 4333, CN = tstcawilly.szr.local
error 20 at 0 depth lookup:unable to get local issuer certificate
error in verify
OpenSSL>

Answer 1

OpenSSL> verificar -CAfile C: / mycert.pem C: / mycert.pem

Cerrar. -CAfile agregar el certificado raíz de la entidad emisora ​​de certificados con -CAfile ; y no su certificado de entidad final. Algo como:

openssl verify -CAfile C:/ca-cert.pem C:/mycert.pem

Además, si hay un certificado intermedio, debe agregarse a mycert.pem . Entonces, mycert.pem tendrá dos (o más) certificados (en lugar de uno).

Agregar todos los certificados requeridos a mycert.pem en un esfuerzo por construir una cadena válida resuelve el problema de "qué directorio" . Es un problema bien conocido en PKI. Esencialmente, un cliente (como yo) no sabe dónde ir para obtener certificados intermedios que faltan.