验证针对各种CRL文件的SSL证书

Question

我有多个证书文件，例如“cert1.crt”，“cert2.crt”等，以及多个CRL列表，“list1.crl”，“list2.crl”等。没有提供rootCA或任何其他类型的文件。我的任务是找出哪些证书没有被撤销。尽管对“验证”命令进行了广泛的搜索，但我没有找到任何能够提供我至少一条线索的命令或程序。最后，我设法做一些bash脚本特技飞行这让我手动测试序列号，每个.crt文件

for((i=1;i<9;i++)) 
do 
echo $i 
fileIn="crl"$i".crl" 
#serial is manually c/p from each .crt file 
serial="1319447396" 
OUTPUT="$(openssl crl -in $fileIn -noout -text | grep $serial)" 
echo $OUTPUT 
done 

这样我可以做手工每次一个，但它只能用于小文件数目（目前9个）。有了数十个文件，它会变得无聊而无效，而有100多个文件就不可能这样做。

我想知道是否有一种“聪明”的方式来验证.crt对抗.crl？或者至少有一种方法来打脚本的工作，所以我不必手动检查每个.crt？现在它超出了我的脚本知识。

所以，伪，我会很高兴，如果这样的事情存在：

openssl x509 -verify cert1.cert -crl_list list8.crl 

Answer 1

在一般情况下，是的，每个证书检查针对CRL，因为是detailed in this guide。

但实际上，每个crl都是一个简单的撤销证书序列号列表。

openssl crl -inform DER -text -noout -in mycrl.crl 

Asuming的CRL是DER形式（如需要适应）：
包含在CRL列表可以与扩展。

1. 展开每个（全部）CRL到一个文本文件，如：

   openssl crl -inform DER -text -noout -in mycrl.crl > mycrl.crl.txt 
   

   该出的文件可以减少到仅Serial Number:线。

2. 获取从证书的文本扩展序列号：

   mycrt=$(openssl x509 -in mycrt.com.crt -serial -noout) 
   mycrt=${mycrt#*=} 
   

3. 用grep中的所有文本文件中的序列号从步骤一（如果该证书匹配被撤销）在一个通话与grep：

   if grep -rl "$mycrt" *.crl.txt 2>/dev/null; then 
       echo "the certificate has been revoked" 
   fi 
   

完整的脚本：

#!/bin/bash 

# Create (if they don't exist) files for all the crl given. 
for crl in *.crl; do 
    if [[ ! -e "$crl.txt" ]]; then 
    openssl crl -inform DER -text -noout -in "$crl" | 
     awk -F ': ' '/Serial Number:/{print $2}'> "$crl.txt" 
    fi 
done 

# Process all certificates 
for crt in *.crt; do 
    mycrt=$(openssl x509 -in "$crt" -serial -noout) 
    mycrt=${mycrt#*=} 
    if grep -rl "$mycrt" *.crl.txt; then 
     echo "Certificate $crt has been revoked" 
    fi 
done 

Answer 2

我终于设法解决这个问题，这可能不是最优的，但需要更少的bash知识。这里是我的脚本：

#!/bin/bash 

for((j=1;j<10;j++)) 
do 
indicator=0 
cert="cert"$j".crt" 
for((i=1;i<9;i++)) 
do 
infile="crl"$i".crl" 
SERIAL="$(openssl x509 -noout -text -in $cert | grep Serial | cut -d 'x' -f 2 | cut -d ')' -f 1)" 
OUTPUT="$(openssl crl -inform DER -in $infile -noout -text | grep $SERIAL)" 
if [ -n $OUTPUT ] 
then ((indicator++)) 
fi 
done 
echo $cert 
if [ $indicator == 0 ] 
then echo "not revoked" 
else 
echo "revoked" 
fi 
done