Проверьте PEM-сертификат в Bash с кодом ошибки, но введите код OK

Question

Я хочу проверить, выпущен ли сертификат судом CA или нет. Я использую следующую команду:

openssl verify -verbose -CAfile "/usr/share/jenkins/sub-ca.crt" cert.crt 

cert.crt в этом случае самостоятельно подписанный сертификат, поэтому он не выдан суб-ca.crt. sub-ca.crt - сертификат, выданный нашим root-ca. Когда я запускаю команду, он показывает правильную ошибку: отображается

error 18 at 0 depth lookup:self signed certificate 

Но в этой строке OK и когда я проверить код с $? Я получаю 0 в качестве кода возврата. Почему команда возвращает OK при возникновении ошибки?

Answer 1

В verify команда пытается построить цепочку сертификатов, подтверждает, что цепь завершена, проверяет цель, проверьте настройки доверия, проверяет правильность всей цепи (например, от времени и т.д.) и т.д.

Поскольку verify является диагностическим инструментом, код возврата не означает, что сертификат успешно подтвержден, это означает, что команда успешно завершилась без каких-либо фатальных ошибок. Некоторые классы ошибок рассматриваются как нефатальные, такие как: самозаверяющий сертификат, срок действия сертификата, расширения сертификатов обработки ошибок и т. Д. Негативные ошибки будут отображаться, но не повлияют на окончательный результат «ОК».

Answer 2

Ошибка 18, которая возвращается командой OpenSSL в этом случае, указывает, что это самоподписанный сертификат найден на глубине 0, а сам самозаверяющий сертификат отсутствовал во внутреннем хранилище (или в случае этой команды он не предоставляется вместе с опцией -CAfile).

Как правило, OpenSSL пытается сформировать цепочку сертификатов и ее эмитентов на основе сертификата или цепочки сертификатов, представленных для проверки, и сертификатов, предоставляемых как часть -CAfile или -CAPath.

Ожидается, что самоподписанный сертификат в цепочке (то есть самый верхний сертификат цепочки) также должен быть представлен как часть параметров -CAfile или -CAPath, то есть им доверяет верификатор.

В вопросе, это не тот случай и, следовательно, ошибка.