Как проверить, отозван ли сертификат letsencrypt

Я пытаюсь проверить, был ли отозван сертификат, выданный letsencrypt, на основании этого ответ:

 openssl ocsp -issuer highschoolhelper.org_fullchain.crt  -cert highschoolhelper.org_fullchain.crt  \
      -text -url http://ocsp.int-x3.letsencrypt.org  -header "HOST" "ocsp.int-x3.letsencrypt.org"

highschoolhelper.org_fullchain.crt содержание:

Но вместо этого я получаю такой вывод:

OCSP Request Data:
    Version: 1 (0x0)
    Requestor List:
        Certificate ID:
          Hash Algorithm: sha1
          Issuer Name Hash: 7EE66AE7729AB3FCF8A220646C16A12D6071085D
          Issuer Key Hash: 631192891A849CF47501DE858F83FF62B943199A
          Serial Number: 0486E5A1D0B9C6D97280AC24D47C6B552370
    Request Extensions:
        OCSP Nonce:
            0410193D65F8B1D045055EE5862101F61D02
Responder Error: unauthorized (6)

Ваш входной файл содержит два сертификата: первый листовой сертификат и второй сертификат цепочки. Цепной сертификат является издателем конечного сертификата, поэтому его необходимо использовать для -issuer аргумент, если листовой сертификат должен быть проверен (-cert аргумент).

Только вы предоставляете один и тот же файл для эмитента и сертификата. В обоих случаях он извлечет первый сертификат из файла, что означает, что он будет использовать один и тот же сертификат для эмитента и сертификата - что неверно. Чтобы исправить это, разделите файл на два: поместите первый сертификат в cert.pem а второй в issuer.pem а затем попробуйте еще раз:

$ openssl ocsp -issuer issuer.pem -cert cert.pem \
    -text -url http://ocsp.int-x3.letsencrypt.org  -header "HOST" "ocsp.int-x3.letsencrypt.org"

...
OCSP Response Data:
    ...
    Responder Id: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
    ...
    Cert Status: good
    This Update: May 24 03:00:00 2020 GMT
    Next Update: May 31 03:00:00 2020 GMT

Помимо ответа Штеффена, использующего OCSP, вы также можете использовать поисковые интерфейсы журналов прозрачности сертификатов, в которых хранятся все сертификаты и их статус отзыва из любого общедоступного центра сертификации.

Если вы ищете с https://crt.sh/?q=highschoolhelper.org вы получаете 7 сертификатов:

crt.sh ID    Logged At  ⇧   Not Before  Not After   Matching Identities     Issuer Name
2848441767  2020-05-24  2020-05-24  2020-08-22  highschoolhelper.org
                                                www.highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2850401771  2020-05-24  2020-05-24  2020-08-22  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2849897415  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2845143222  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2844662744  2020-05-23  2020-05-23  2020-08-21  highschoolhelper.org    C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
2753256176  2020-05-02  2020-05-02  2020-07-31  highschoolhelper.org
                                                mail.highschoolhelper.org
                                                www.highschoolhelper.org    C=US, ST=TX, L=Houston, O="cPanel, Inc.", CN="cPanel, Inc. Certification Authority"
2753256196  2020-05-02  2020-05-02  2020-07-31  highschoolhelper.org
                                                mail.highschoolhelper.org
                                                www.highschoolhelper.org    C=US, ST=TX, L=Houston, O="cPanel, Inc.", CN="cPanel, Inc. Certification Authority"

Первый сертификат в вашем дампе содержит:

        Issuer: C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
        Validity
            Not Before: May 24 02:03:23 2020 GMT
            Not After : Aug 22 02:03:23 2020 GMT
        Subject: CN=highschoolhelper.org

так что это соответствует указанному выше как ID 2850401771

Собирается https://crt.sh/?id=2850401771 он еще не отмечен как отозванный (но будет):

Если вы не нажмете «Проверить» рядом с OCSP и не получите: