С помощью OpenSSL как проверить маркер метки времени для одного сертификата (не всей цепочки)

Question

Я пытаюсь проверить подпись в маркере отметки времени в OpenSSL (v1.1.1a) только для сертификата подписи, а не для всей цепочки (с флагом -partial_chain).

Я использую

openssl ts -verify -partial_chain -in ~/Desktop/dgn/token-der.txt -token_in -digest bcbfcee484a9b243bafad6b8a43e0ddc1bf091837463e7c717495395eefbc2a6 -CAfile ~/Desktop/dgn/dgn-cert.txt

и ошибка:

Verification: FAILED
Using configuration from C:/Program Files/Git/mingw64/ssl/openssl.cnf
13812:error:2107C080:PKCS7 routines:PKCS7_get0_signers:signer certificate not found:../openssl-1.1.1a/crypto/pkcs7/pk7_smime.c:421:

Как правильно это сделать?

Это продолжение вопроса: Проверка токена временной метки по сертификату (но не по всей цепочке сертификации) с использованием OpenSSL .

Answer 1

Флаг -untrusted решил проблему:

openssl ts -verify -partial_chain -in ~/Desktop/dgn/token-der.txt -token_in -digest bcbfcee484a9b243bafad6b8a43e0ddc1bf091837463e7c717495395eefbc2a6 -CAfile ~/Desktop/dgn/dgn-cert.txt -untrusted ~/Desktop/dgn/dgn-cert.txt