Làm thế nào để tải chứng chỉ ssl từ một trang web?

Tôi muốn tải xuống chứng chỉ ssl từ, giả sử https://www.google.com , sử dụng wget hoặc bất kỳ lệnh nào khác. Bất kỳ dòng lệnh unix? wget hay openssl?

Để tải xuống chứng chỉ, bạn cần sử dụng ứng dụng khách được tích hợp vào openssl như vậy:

echo -n | openssl s_client -connect HOST:PORTNUMBER \
    | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > /tmp/$SERVERNAME.cert

Điều đó sẽ lưu chứng chỉ vào /tmp/$SERVERNAME.cert.

Bạn có thể sử dụng -showcertsnếu bạn muốn tải xuống tất cả các chứng chỉ trong chuỗi. Nhưng nếu bạn chỉ muốn tải xuống chứng chỉ máy chủ, không cần chỉ định-showcerts

echo -n đưa ra phản hồi cho máy chủ để kết nối được giải phóng

sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'xóa thông tin về chuỗi chứng chỉ và chi tiết kết nối. Đây là định dạng ưa thích để nhập chứng chỉ vào các kho khóa khác.

Tôi tìm thấy câu trả lời. Openssl cung cấp nó.

openssl s_client -connect $ {REMHOST}: $ {REMANCE}

Công cụ máy khách GNUTLSgnutls-cli , cũng có thể thực hiện điều này dễ dàng:

gnutls-cli --print-cert www.example.com \
        < /dev/null \
        > www.example.com.certs

Chương trình được thiết kế để cung cấp một ứng dụng khách tương tác cho trang web, vì vậy bạn cần cung cấp cho nó đầu vào trống (trong ví dụ này, từ /dev/null) để kết thúc phiên tương tác.

dựa trên câu trả lời @bignose, đây là một phiên bản khép kín rất phù hợp với ví dụ như một công thức đầu bếp:

sudo apt-get install gnutls-bin 
gnutls-cli --print-cert myserver.com </dev/null| sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > myserver.crt
sudo cp myserver.crt /usr/local/share/ca-certificates/myserver.crt
sudo update-ca-certificates

true | openssl s_client -connect google.com:443 2>/dev/null | openssl x509

chế độ openssl này mong đợi stdin, vì vậy chúng tôi cung cấp thông qua true |, điều này kết nối với máy chủ được chỉ định trong tham số -connect. 2>/dev/nulllỗi im lặng (tùy chọn), chúng ta có thể chuyển toàn bộ đầu ra vào trình phân tích cú pháp x509, chỉ định /dev/stdinsử dụng ống vỏ làm tệp đầu vào. Và đó là ý chí đầu ra chỉ là -----BEGIN CERTIFICATE-----để -----END CERTIFICATE-----phần s_clientđầu ra. Bạn có thể chuyển hướng đó đến một tệp bằng cách thêm > google.com.pemvào cuối lệnh.

Như tôi có thể nói, điều này không xác minh chuỗi chứng chỉ, nó chỉ có thể cho bạn biết danh tính ssl mà máy chủ cuối cung cấp.

Cú pháp thay thế bằng cách sử dụng Ex và thay thế quá trình:

ex +'/BEGIN CERTIFICATE/,/END CERTIFICATE/p' <(echo | openssl s_client -showcerts -connect example.com:443) -scq > file.crt