/etc/hostsに書いた設定が効いているか、ホスト名がどのIPアドレスに解決されるかを、アプリケーションが見る結果のまま確認したいときは、getent hostsを使う。

opensslは、暗号化、ハッシュ、鍵や証明書の作成、TLS接続の確認など、多くの機能を1つにまとめたコマンドである。openssl [サブコマンド] [オプション]の形式で使う。ここでは、やりたいこと別に、各機能を解説した記事へリンクする。

手元のopensslで使えるTLSの暗号スイートや、ハッシュ・暗号アルゴリズムの一覧を確認したいときは、openssl ciphersやopenssl listを使う。処理速度を比較したいときはopenssl speedを使う。

TLSクライアントの動作確認や、証明書の設定確認のために、手元にTLSサーバーを立てたいときは、openssl s_serverを使う。Nginxなどのサーバーソフトを設定しなくても、証明書と秘密鍵の2つのファイルだけでHTTPSサーバーを起動できる。

サーバーがどのTLSバージョンや暗号スイートに対応しているか、SNI（Server Name Indication）でホスト名を切り替えられるか、といった接続の条件を調べたいときは、openssl s_clientのオプションを使う。

配布するファイルが改ざんされていないことを受け取る側に証明したいときは、秘密鍵でファイルに電子署名を付ける。受け取る側は、公開鍵で署名を検証する。openssl dgst -signと-verifyを使う。

秘密鍵と証明書を1つのファイルにまとめたPFX（.pfx、.p12）を作りたいときは、openssl pkcs12 -exportを使う。Windowsの証明書ストアやmacOSのキーチェーン、Javaのキーストアなどに、秘密鍵付きの証明書を取り込む場合に使う。

サーバーに設定する秘密鍵と証明書が、ペアとして正しいか確認したいときは、それぞれから公開鍵を取り出して比較する。 $ diff <(openssl pkey -in server.key -pubout) <(openssl x509 -in server.crt -noout -pubkey) && echo MATCH MATCH 秘密鍵と証明書の公開鍵が一致すれば、MATCHと表示される。一致しない場合は、diffが差分を出力して、MATCHは表示されない。

サーバー証明書が、信頼するルートCAまで正しくたどれるかを確認したいときは、openssl verifyを使う。 $ openssl verify -CAfile root.crt -untrusted inter.crt leaf.crt leaf.crt: OK それぞれのオプションの意味は次のとおり。

証明書をPEM形式からDER形式に、DER形式からPEM形式に変換したいときは、openssl x509 -outformを使う。 $ openssl x509 -in cert.pem -outform DER -out cert.der DER形式をPEM形式に戻すには、-inform DERで入力の形式を指定する。