Respostas:
Você pode usar o s_clientcomando do OpenSSL para despejar o certificado no formato PEM (e muitas outras coisas, mas -inparece não se importar com isso). Tudo o que você precisa é de um redirecionamento de saída para convencer x509a analisar que:
openssl x509 -text -noout -in <(openssl s_client -connect server:443)
-starttls PROTOse o protocolo não for SSL / TLS nativo. Por exemplo-starttls pop3,.