Linux服务器上查看SSL证书详细信息的完全指南

最新推荐文章于 2025-05-01 13:43:21 发布

运筹帷幄海洋

最新推荐文章于 2025-05-01 13:43:21 发布

阅读量2.1k

点赞数 6

分类专栏：运维相关 Linux 文章标签：服务器 linux ssl OpenSSL命令证书故障排查

本文链接：https://blog.youkuaiyun.com/zhlh_xt/article/details/144199854

版权

运维相关同时被 2 个专栏收录

12 篇文章

订阅专栏

Linux

5 篇文章

订阅专栏

Linux服务器上查看SSL证书详细信息的完全指南

摘要

本文详细介绍了在Linux服务器上查看和管理SSL证书的各种方法和命令。针对系统管理员和IT专业人士，我们提供了使用OpenSSL工具查看本地和远程证书信息、验证证书有效性、检查私钥匹配等操作的具体步骤。本指南旨在帮助新手Linux管理员快速掌握SSL证书管理技能，同时为经验丰富的管理员提供便捷的参考工具。

引言

在当今的网络环境中，SSL证书已成为保障网站安全的必要组件。对于Linux系统管理员来说，能够熟练地查看和管理SSL证书是一项关键技能。本文将详细介绍在Linux环境下查看SSL证书信息的各种方法，帮助你更好地管理和维护服务器安全。

使用OpenSSL查看证书信息

OpenSSL是Linux系统中最常用且功能强大的SSL工具之一。以下是使用OpenSSL查看证书信息的几种主要方法：

查看本地证书文件

要查看存储在服务器上的证书文件的详细信息，可以使用以下命令：

openssl x509 -in /path/to/certificate.crt -text -noout

示例输出：

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            20:b4:8a:2f:99:63:b9:3e:6c:52:f5:37:ff:75:88:21
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = R3
        Validity
            Not Before: Nov 16 03:44:50 2023 GMT
            Not After : Feb 14 03:44:49 2024 GMT
        Subject: CN = example.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                RSA Public-Key: (2048 bit)
                Modulus:
                    00:b7:5c:c1:db:6c:7a:95:bc:7d:3a:76:ab:2e:b4:
                    ...
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier: 
                D8:E8:D8:76:AF:74:48:71:1E:35:54:A4:A8:54:E2:5E:5A:81:23:A7
            X509v3 Authority Key Identifier: 
                keyid:14:2E:B3:17:B7:58:56:CB:AE:50:09:40:E6:1F:AF:9D:8B:14:C2:C6

            Authority Information Access: 
                OCSP - URI:http://r3.o.lencr.org
                CA Issuers - URI:http://r3.i.lencr.org/

            X509v3 Subject Alternative Name: 
                DNS:example.com, DNS:www.example.com
            X509v3 Certificate Policies: 
                Policy: 2.23.140.1.2.1
                Policy: 1.3.6.1.4.1.44947.1.1.1
                  CPS: http://cps.letsencrypt.org

    Signature Algorithm: sha256WithRSAEncryption
         8e:7f:af:91:6f:3d:95:12:18:d6:f9:5e:c1:f2:2f:84:2d:24:
         ...

查看证书的特定信息

如果只需要查看证书的某些特定信息，可以使用以下命令：

openssl x509 -in /path/to/certificate.crt -noout -serial -issuer -subject -dates

示例输出：

serial=20B48A2F9963B93E6C52F537FF758821
issuer=C = US, O = Let's Encrypt, CN = R3
subject=CN = example.com
notBefore=Nov 16 03:44:50 2023 GMT
notAfter=Feb 14 03:44:49 2024 GMT

查看远程服务器的证书

要查看远程HTTPS网站的证书信息，可以使用：

openssl s_client -showcerts -connect example.com:443

示例输出：

CONNECTED(00000003)
depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = R3
verify return:1
depth=0 CN = example.com
verify return:1
---
Certificate chain
 0 s:CN = example.com
   i:C = US, O = Let's Encrypt, CN = R3
-----BEGIN CERTIFICATE-----
MIIFJjCCBA6gAwIBAgISILSKL5ljuT5sUvU3/3WIITANBgkqhkiG9w0BAQsFADBX
...
-----END CERTIFICATE-----
 1 s:C = US, O = Let's Encrypt, CN = R3
   i:C = US, O = Internet Security Research Group, CN = ISRG Root X1
-----BEGIN CERTIFICATE-----
MIIFFjCCAv6gAwIBAgIRAJErCErPDBinU/bWLiWnX1owDQYJKoZIhvcNAQELBQAw
...
-----END CERTIFICATE-----
---
Server certificate
subject=CN = example.com
issuer=C = US, O = Let's Encrypt, CN = R3
...

查看证书的有效期

要快速查看证书的有效期，可以使用：

openssl x509 -in /path/to/certificate.crt -noout -dates

示例输出：

notBefore=Nov 16 03:44:50 2023 GMT
notAfter=Feb 14 03:44:49 2024 GMT

查看和验证私钥信息

查看私钥信息

要查看与证书配对的私钥信息，可以使用：

openssl rsa -in /path/to/privatekey.key -text -noout

示例输出：

Private-Key: (2048 bit)
modulus:
    00:b7:5c:c1:db:6c:7a:95:bc:7d:3a:76:ab:2e:b4:
    ...
publicExponent: 65537 (0x10001)
privateExponent:
    00:8f:1e:7c:7d:b7:62:bb:3b:5a:b4:79:56:9c:44:
    ...
prime1:
    00:e3:51:74:f0:07:bf:b3:bd:b8:28:8d:6c:c9:e3:
    ...
prime2:
    00:cd:23:e8:30:c3:44:49:e0:e4:53:39:02:89:f1:
    ...
exponent1:
    00:9f:7c:05:3d:16:cf:aa:e3:aa:30:63:97:55:51:
    ...
exponent2:
    6f:a1:32:c3:29:8f:45:47:b7:c8:dc:7f:d4:4c:28:
    ...
coefficient:
    00:b0:6d:1f:a4:9e:69:6f:41:39:d3:33:4c:57:11:
    ...

验证证书和私钥是否匹配

要确保证书和私钥是匹配的，可以比较它们的公钥：

openssl x509 -in /path/to/certificate.crt -noout -pubkey
openssl rsa -in /path/to/privatekey.key -pubout

如果两个命令的输出相同，则证书和私钥是匹配的。

示例输出（两个命令应产生相同的输出）：

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu1zB22x6lbx9OnarLrSn
...
-----END PUBLIC KEY-----

查看证书链

如果你有一个包含完整证书链的文件，可以使用以下命令查看所有证书：

openssl crl2pkcs7 -nocrl -certfile /path/to/fullchain.pem | openssl pkcs7 -print_certs -noout

示例输出：

subject=CN = example.com
issuer=C = US, O = Let's Encrypt, CN = R3

subject=C = US, O = Let's Encrypt, CN = R3
issuer=C = US, O = Internet Security Research Group, CN = ISRG Root X1

subject=C = US, O = Internet Security Research Group, CN = ISRG Root X1
issuer=O = Digital Signature Trust Co., CN = DST Root CA X3

最佳实践和注意事项

权限管理：确保只有授权人员能访问证书和私钥文件。
定期检查：定期检查证书的有效期，避免因证书过期导致服务中断。
安全存储：将私钥文件存储在安全的位置，并限制访问权限。
备份：定期备份证书和私钥文件，以防意外丢失。
更新OpenSSL：保持OpenSSL版本更新，以获得最新的安全补丁和功能。
使用强加密：在生成新证书时，使用强大的加密算法和足够长的密钥长度。
证书链完整性：确保证书链完整，包括根证书和中间证书。

结论

掌握在Linux服务器上查看和管理SSL证书的技能对于系统管理员来说至关重要。通过本文介绍的各种OpenSSL命令，你可以轻松查看证书详情、验证证书有效性、检查私钥匹配等。这些技能不仅有助于日常的服务器维护工作，还能在排查SSL相关问题时提供宝贵的帮助。随着网络安全重要性的不断提升，这些技能将成为每个Linux管理员的必备工具。