Início / server / Perguntas / 832555
Accepted
not2savvy
Asked: 2017-02-15 11:53:13 +0800 CST

Como posso selecionar um certificado de um arquivo PEM com vários certificados?

  • 772

Informações básicas: estou trabalhando em um servidor OS X e preciso usar certificados do chaveiro com openssl smime para criptografar mensagens em um script bash. Para fazer isso, eu uso o security find-certificatecom a -eopção de extrair os certificados para um determinado endereço de e-mail do chaveiro do OS X. Isso funciona bem, no entanto, o comando extrai todos os certificados encontrados para esse endereço de e-mail para o arquivo PEM. O arquivo ainda conterá certificados expirados.

Quando uso o arquivo PEM para criptografia de e-mail com openssl smime, obviamente, apenas o primeiro certificado no arquivo PEM é usado.

Então o que precisa ser feito é selecionar o certificado com a maior data de expiração do arquivo PEM, para que eu possa usar aquele com o openssl, mas como isso pode ser feito?

openssl x509 smime

1 respostas

  1. Best Answer

    Se qualquer certificado não expirado for aceitável:

    $ # adjust filenames for your environment as desired 

$ cat <<\EOF >awkscript # only need to do this setup once
BEGIN{ cmd="openssl x509 <tempfile -checkend 0" }
/^-----BEGIN/ {f=1} 
f {print >"tempfile"} 
/^-----END/ {f=0; close("tempfile"); cmd | getline status;
  if( status ~ "not expire" ){ exit 0 }; close(cmd) }
END{ exit 1 }
EOF

$ if awk -f awkscript combinedpemfile
> then # use tempfile as cert for encryption
> else # no unexpired cert found 
> fi

    Se você precisar especificamente do último vencimento, não vejo uma maneira fácil de automatizar a comparação de datas, mas isso faz o resto:

    $ cat <<\EOF >awkscript # again only once
BEGIN{ cmd="openssl x509 -noout -enddate" }
/^------BEGIN/ {f=1; t=""} f {t=t $0 ORS} 
/^-----END/ {f=0; out="tempcert#"(++i); print t >out; 
  printf "%s: ",out; print t | cmd; close(cmd) }
EOF

$ awk -f awkscript combinedpemfile
tempcert#1: notAfter=(expiryfor1)
tempcert#2: notAfter=(expiryfor2)
tempcert#3: notAfter=(expiryfor3)
...
$ # pick the latest expiry and use the corresponding file (and clean up)
    • 1

relate perguntas