如何使用 Tomcat 5.5 更新 SSL 证书

Question

H Aßdøµ

Asked: 2020-05-25 12:47:52 +0800 CST2020-05-25 12:47:52 +0800 CST 2020-05-25 12:47:52 +0800 CST

如何检查letsencrypt证书是否已被吊销

772

我正在尝试根据此答案检查letsencrypt颁发的证书是否已被吊销：

 openssl ocsp -issuer highschoolhelper.org_fullchain.crt  -cert highschoolhelper.org_fullchain.crt  \
      -text -url http://ocsp.int-x3.letsencrypt.org  -header "HOST" "ocsp.int-x3.letsencrypt.org"

highschoolhelper.org_fullchain.crt 内容：

但我得到的是这个输出：

OCSP Request Data:
    Version: 1 (0x0)
    Requestor List:
        Certificate ID:
          Hash Algorithm: sha1
          Issuer Name Hash: 7EE66AE7729AB3FCF8A220646C16A12D6071085D
          Issuer Key Hash: 631192891A849CF47501DE858F83FF62B943199A
          Serial Number: 0486E5A1D0B9C6D97280AC24D47C6B552370
    Request Extensions:
        OCSP Nonce:
            0410193D65F8B1D045055EE5862101F61D02
Responder Error: unauthorized (6)

2 个回答

Voted

Steffen Ullrich · Answer 1 · 2020-05-25T13:52:41+08:00

Best Answer

Steffen Ullrich

2020-05-25T13:52:41+08:002020-05-25T13:52:41+08:00

您的输入文件包含两个证书：首先是叶证书，其次是链证书。-issuer链证书是叶子证书的颁发者，因此如果要检查叶子证书（-cert参数），则需要将其用于参数。

只是，您为颁发者和证书提供相同的文件。在这两种情况下，它都会从文件中取出第一个证书，这意味着它将为颁发者和证书使用相同的证书——这是错误的。要解决此问题，请将您的文件分成两部分：将第一个证书放入cert.pem，第二个放入issuer.pem，然后重试：

$ openssl ocsp -issuer issuer.pem -cert cert.pem \
    -text -url http://ocsp.int-x3.letsencrypt.org  -header "HOST" "ocsp.int-x3.letsencrypt.org"

...
OCSP Response Data:
    ...
    Responder Id: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
    ...
    Cert Status: good
    This Update: May 24 03:00:00 2020 GMT
    Next Update: May 31 03:00:00 2020 GMT

2

Patrick Mevzek · Answer 2 · 2020-05-26T13:22:40+08:00

除了 Steffen 使用 OCSP 的回答之外，您还可以使用 Certificate Transparency Logs 搜索界面，该界面存储来自任何公共 CA 的所有证书及其吊销状态。

如果您使用https://crt.sh/?q=highschoolhelper.org搜索，您将获得 7 个证书：

crt.sh ID    Logged At  ⇧   Not Before  Not After   Matching Identities     Issuer Name
2848441767  2020-05-24  2020-05-24  2020-08-22  highschoolhelper.org
                                                www.highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2850401771  2020-05-24  2020-05-24  2020-08-22  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2849897415  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2845143222  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2844662744  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2753256176  2020-05-02  2020-05-02  2020-07-31  highschoolhelper.org
                                                mail.highschoolhelper.org
                                                www.highschoolhelper.org    C=US, ST=TX, L=Houston, O="cPanel, Inc.", CN="cPanel, Inc. Certification Authority"
2753256196  2020-05-02  2020-05-02  2020-07-31  highschoolhelper.org
                                                mail.highschoolhelper.org
                                                www.highschoolhelper.org    C=US, ST=TX, L=Houston, O="cPanel, Inc.", CN="cPanel, Inc. Certification Authority"

转储中的第一个证书具有：

        Issuer: C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
        Validity
            Not Before: May 24 02:03:23 2020 GMT
            Not After : Aug 22 02:03:23 2020 GMT
        Subject: CN=highschoolhelper.org

所以这对应于上面的 ID 2850401771

转到https://crt.sh/?id=2850401771它尚未标记为已撤销（但将会）：

除非您单击 OCSP 附近的“检查”，否则您会得到：

如何检查letsencrypt证书是否已被吊销

新安装后 postgres 的默认超级用户用户名/密码是什么？

SFTP 使用什么端口？

命令行列出 Windows Active Directory 组中的用户？

什么是 Pem 文件，它与其他 OpenSSL 生成的密钥文件格式有何不同？

如何确定bash变量是否为空？

如何检查letsencrypt证书是否已被吊销

2 个回答

相关问题