Pour générer un certificat (par exemple pour Apache) :

openssl req -new -x509 -days 365 -nodes -out /etc/apache2/ssl/apache.pem -keyout /etc/apache/ssl/apache.pem

• req request
• -new création d'un nouveau certificat
• -x509 utilisation de X.509 (clé publique PKI)
• -days 365 validité du certificat de 1 an
• -out <fichier.pem> l'emplacement du certificat créé
• -keyout <fichier.pem> fichier contenant la clé RSA

Il faut d'abord connaitre le format du certificat à lire : on utilise -inform <FORMAT> pour le définir ; les formats étant PEM, DER ou NET. Dans les exemples ci-dessous, on n'utilisera que le format PEM (par défaut donc implicite) pour simplifier les lignes de commande.

Lire les informations d'un fichier local :

# afficher le contenu de la requête
openssl req -noout -text -verify -in request.csr
# ou en plus court
openssl req -noout -subject -verify -in request.csr
 
# afficher l'ensemble des infos du certificat
openssl x509 -noout -in fichier.pem -text
 
# afficher toutes les infos sauf la signature chiffrée
openssl x509 -noout -in fichier.pem -text -certopt no_sigdump
 
# afficher uniquement le sujet, l'email, le numéro de série ou les dates de validité (début/fin)
openssl x509 -noout -in fichier.pem -subject
openssl x509 -noout -in fichier.pem -email
openssl x509 -noout -in fichier.pem -serial 
# 2 équivalents :
openssl x509 -noout -in fichier.pem -dates
openssl x509 -noout -in fichier.pem -startdate -enddate
 
# pas d'option pour afficher directement le CN ; il faut filtrer manuellement le résultat :
openssl x509 -noout -in fichier.pem -subject | sed -e 's/^.*CN=//' -e 's/\/.*$//'
 
# afficher uniquement les extensions x509v3
# (on est d'accord qu'il faudra sûrement un coup de grep/awk/sed derrière...)
openssl x509 -noout -in fichier.pem -text -certopt \
 no_subject,no_header,no_version,no_serial,no_signame,no_validity,no_subject,no_issuer,no_pubkey,no_sigdump,no_aux

Pour un site web (distant) donné :

openssl s_client -connect google.fr:443 | openssl x509 -noout -text

Pour convertir un certificat du format PEM vers DER par exemple :

openssl x509 -inform pem -in fichier.pem -outform der -out fichier.der

Un certificat peut être invalide s'il n'est pas signé par une CA reconnue, s'il est expiré (ou pas encore valide :D), et s'il a été révoqué. Pour vérifier ce dernier cas il faut récupérer le numéro de série du certificat et vérifier s'il n’apparaît pas dans la liste de révocation (CRL) de la CA. En très sale ça donnerait ceci :

# on récupère le numéro de série du certificat à tester
SN=$(openssl x509 -noout -in louche.pem -serial | cut -d"=" -f2)
# rechercher son occurence dans la liste de révocation
openssl crl -noout -text -in crl.pem | grep -A1 "Serial Number: $SN"

Si le certificat est révoqué ça nous retournera quelque chose du style :

    Serial Number: 0007
        Revocation Date: Nov  6 14:23:40 2017 GMT

A faire sur la CA évidemment ; cela permet d'invalider un certificat qui n'a pas atteint sa date d'expiration.

openssl ca -config openssl.cnf -revoke fired-employee.pem

Puis il faut re-générer la CRL.

La liste de révocation et un fichier signé par la CA, qui contient tous les certificats révoqués ; il est à mettre à disposition de tous afin que chacun puisse connaître et rejeter les certificats qui ont été révoqués.

openssl ca -config openssl.cnf -gencrl -out crl.pem

# Récupérer son SN
SN=$(openssl x509 -noout -in revalid-cert.pem -serial | cut -d"=" -f2)
 
# Vérifier que le certificat figure dans l'index et que c'est bien le bon
grep -n "$SN" index.txt
666:R       301119144232Z   240916120752Z   149F    unknown /C=FR/ST=75/L=PARIS/O=BIGCORP/OU=DSI/CN=KALILIN/emailAddress=notfired-dude@bigcorp.com
 
# Modifier le flag "R" (revocked) par "V" (valid), et (optionnel je crois) remplacer le 3e champ (codant la date de révocation) par une tabulation
sed -i -e '/'$SN'/s/^R/V/' -e '/'$SN'/s/240916120752Z/\t/' index.txt
#V       301119144232Z                   149F    unknown /C=FR/ST=75/L=PARIS/O=BIGCORP/OU=DSI/CN=KALILIN/emailAddress=notfired-dude@bigcorp.com
 
# Regénérer la CRL
openssl ca -config openssl.cnf -gencrl -out crl.pem