Warum kann ich diese Zertifikatskette nicht überprüfen?

Ich habe drei Zertifikate in einer Kette:

• root.pem -
• intermediate.pem -
• john.pem -

Wenn ich sie mit openssl x509 -in [filename] -text -noout untersuche, sehen sie gut aus, root.pem sieht so aus, als wäre es selbstsigniert (Aussteller == Betreff), und der Betreff jedes Zertifikats ist erwartungsgemäß der Aussteller des nächsten Zertifikats.

Und tatsächlich kann ich die Kette bis zum Zwischenzertifikat überprüfen:

$ openssl verify -CAfile root.pem root.pem
root.pem: OK
$ openssl verify -CAfile root.pem intermediate.pem
intermediate.pem: OK

Aber Johannes.pem schlägt fehl:

$ openssl verify -CAfile root.pem -CAfile intermediate.pem john.pem
john.pem: C = CL, [...redacted data...]
error 2 at 1 depth lookup:unable to get issuer certificate

An meinem besten dies bedeutet jedoch, dass openssl den Emittenten für Intermediate nicht finden kann.pem. Was seit root keinen Sinn macht.pem ist in der Tat der Emittent für Intermediate.pem.

Was fehlt mir?

Bearbeiten: Ich hatte ursprünglich eine Antwort gepostet, die besagt, dass root.pem-und Mittelstufe.pem sollte in einer Datei verkettet werden, und dann sollte man diese Datei als Parameter für -CAfile. Dies ist FALSCH, da dies implizit Ihnen vertraut.pem, als Johannes Pille Punkte aus. Lesen Sie den Link, den er in meiner gelöschten Antwort gepostet hat: https://mail.python.org/pipermail/cryptography-dev/2016-August/000676.html