Используйте утилиту openssl для отображения и проверки цепочки сертификатов для определенного домена.
Содержание
Показать цепочку сертификатов
Показать цепочку сертификатов для example.org.
$ DOMAIN="example.org"; \
echo -n | \
openssl s_client \
-servername ${DOMAIN} \
-connect ${DOMAIN}:443 2>/dev/null | \
awk 'BEGIN{RS="---"} /Certificate chain/ {print}' | \
awk NF
Certificate chain 0 s:/C=US/ST=California/L=Los Angeles/O=Internet Corporation for Assigned Names and Numbers/OU=Technology/CN=www.example.org i:/C=US/O=DigiCert Inc/CN=DigiCert SHA2 Secure Server CA 1 s:/C=US/O=DigiCert Inc/CN=DigiCert SHA2 Secure Server CA i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA 2 s:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA
Показать цепочку сертификатов для letsencrypt.org.
$ DOMAIN="letsencrypt.org"; \
echo -n | \
openssl s_client \
-servername ${DOMAIN} \
-connect ${DOMAIN}:443 2>/dev/null | \
awk 'BEGIN{RS="---"} /Certificate chain/ {print}' | \
awk NF
Certificate chain 0 s:/CN=www.letsencrypt.org i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 1 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 i:/O=Digital Signature Trust Co./CN=DST Root CA X3
Подтвердить сертификат
Проверим сертификат у example.org.
$ DOMAIN="example.org"; \
echo -n | \
openssl s_client \
-servername ${DOMAIN} \
-connect ${DOMAIN}:443 \
-CApath /etc/ssl/certs/ 2>/dev/null | \
awk '/Verify return code:/ {print gensub(/^ */,"","g",$0)}'
Verify return code: 0 (ok)
Образец неполного сертификата у incomplete-chain.badssl.com.
$ DOMAIN="incomplete-chain.badssl.com"; \
echo -n | \
openssl s_client \
-servername ${DOMAIN} \
-connect ${DOMAIN}:443 \
-CApath /etc/ssl/certs/ 2>/dev/null | \
awk '/Verify return code:/ {print gensub(/^ */,"","g",$0)}'
Verify return code: 21 (unable to verify the first certificate)
