如何检查 letsencrypt 证书是否已被撤销

Question 1

-issuer您的输入文件包含两个证书：第一个是叶证书，第二个是链证书。链证书是叶证书的颁发者，因此如果要检查叶证书（参数），则需要将其用作参数-cert。

只是，您为颁发者和证书提供相同的文件。在这两种情况下，它都会从文件中删除第一个证书，这意味着它将为颁发者和证书使用相同的证书 - 这是错误的。要解决此问题，请将您的文件分成两个：将第一个证书放入cert.pem，将第二个证书放入issuer.pem，然后重试：

$ openssl ocsp -issuer issuer.pem -cert cert.pem \
    -text -url http://ocsp.int-x3.letsencrypt.org  -header "HOST" "ocsp.int-x3.letsencrypt.org"

...
OCSP Response Data:
    ...
    Responder Id: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
    ...
    Cert Status: good
    This Update: May 24 03:00:00 2020 GMT
    Next Update: May 31 03:00:00 2020 GMT

Answer

-issuer您的输入文件包含两个证书：第一个是叶证书，第二个是链证书。链证书是叶证书的颁发者，因此如果要检查叶证书（参数），则需要将其用作参数-cert。

只是，您为颁发者和证书提供相同的文件。在这两种情况下，它都会从文件中删除第一个证书，这意味着它将为颁发者和证书使用相同的证书 - 这是错误的。要解决此问题，请将您的文件分成两个：将第一个证书放入cert.pem，将第二个证书放入issuer.pem，然后重试：

$ openssl ocsp -issuer issuer.pem -cert cert.pem \
    -text -url http://ocsp.int-x3.letsencrypt.org  -header "HOST" "ocsp.int-x3.letsencrypt.org"

...
OCSP Response Data:
    ...
    Responder Id: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
    ...
    Cert Status: good
    This Update: May 24 03:00:00 2020 GMT
    Next Update: May 31 03:00:00 2020 GMT

Question 2

除了 Steffen 使用 OCSP 的回答之外，您还可以使用证书透明度日志搜索界面，该界面存储来自任何公共 CA 的所有证书及其吊销状态。

如果你使用以下方式搜索https://crt.sh/?q=highschoolhelper.org您将获得 7 张证书：

crt.sh ID    Logged At  ⇧   Not Before  Not After   Matching Identities     Issuer Name
2848441767  2020-05-24  2020-05-24  2020-08-22  highschoolhelper.org
                                                www.highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2850401771  2020-05-24  2020-05-24  2020-08-22  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2849897415  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2845143222  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2844662744  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2753256176  2020-05-02  2020-05-02  2020-07-31  highschoolhelper.org
                                                mail.highschoolhelper.org
                                                www.highschoolhelper.org    C=US, ST=TX, L=Houston, O="cPanel, Inc.", CN="cPanel, Inc. Certification Authority"
2753256196  2020-05-02  2020-05-02  2020-07-31  highschoolhelper.org
                                                mail.highschoolhelper.org
                                                www.highschoolhelper.org    C=US, ST=TX, L=Houston, O="cPanel, Inc.", CN="cPanel, Inc. Certification Authority"

您的转储中的第一个证书具有：

        Issuer: C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
        Validity
            Not Before: May 24 02:03:23 2020 GMT
            Not After : Aug 22 02:03:23 2020 GMT
        Subject: CN=highschoolhelper.org

因此它对应于上面的 ID 2850401771

即将https://crt.sh/?id=2850401771它还没有被标记为撤销（但将会被标记为）：

除非你点击 OCSP 附近的“检查”，然后你会得到：

Answer