Verificação por CLI do e-mail assinado digitalmente

Sou Alice e recebi um email assinado de Bob.

Eu uso o cliente de email da Web (por exemplo, GMail) e vejo que um dos anexos é smime.p7s.

Encontrei a opção "mostrar mensagem original" e salvei o conteúdo message.orig.

Supondo que o e-mail assinado por Bob, como posso verificá-lo na linha de comando?

(Vamos supor que Bob use a chave certificada assinada por algumas das autoridades respeitadas - não sei qual, mas suponho isso)

(Alice não deseja instalar o cliente de email com o recurso apropriado, apenas para uma mensagem)

openssl smime -verify -in message.orig

Adicione uma opção -CAfileou -CApathpara especificar uma lista diferente de certificados confiáveis ​​do padrão do sistema.

Você pode obter informações do certificado usado para assinar o email:

openssl smime -noverify -in message.orig -pk7out |
  openssl pkcs7 -print_certs -text -noout

Ou do smime.p7s, se você já o extraiu:

openssl pkcs7 -in smime.p7s -text -inform DER -print_certs -noout