A cadeia de certificados PEM de importação do Firefox falha

0

Estou tentando importar uma cadeia de certificados para o Firefox 31.3 ESR. A cadeia de origem é um arquivo p7b que converti com OpenSSL para o formato PEM. curl aceita com alegria essa cadeia e estabelece a conexão. O Firefox, no entanto, importa apenas o primeiro certificado do arquivo. O resto é ignorado.

Preciso importar cada um deles? A questão da cadeia está disponível aqui: link

A solução estúpida que apliquei wa para dividir o arquivo PEM conforme descrito aqui e importar todos os certificados: - (

    
por Michael-O 07.01.2015 / 22:40

1 resposta

1

Isso não é uma corrente; é uma aglomeração de certificados de CA contendo três raízes, das quais apenas uma parece "interessante", um grupo de CAs subordinadas e duas certificações de ponte (para versões da Cybertrust). Assim como alguém poderia inferir da URL.

Os servidores HTTPS (e SSL / TLS) devem fornecer a cadeia completa de certificados, mas não necessariamente incluindo a raiz, e nunca deve ser necessário instalar qualquer certificado não raiz como confiável no Firefox. Se você olhar para a loja fornecida pelo Firefox - e Windows, Java, e provavelmente outros -, verá que a maioria das certs confiáveis são raízes, embora haja algumas exceções. (Certs OTOH que são explicitamente desconfiados freqüentemente não são raízes.) Certs de ponte são úteis principalmente para um servidor usar com clientes que não têm a (s) raiz (s) necessária (s) , geralmente uma nova raiz contra um cliente mais antigo.

Assim, deve ser suficiente instalar as três raízes e, possivelmente, apenas a opção "Trust Center RootCA v2.0". Além disso, talvez a ponte para "Internet CA v1.0" para "Baltimore Cybertrust" (na guia Servidores não é Autoritites) se seus servidores usarem isso, pois não parece haver uma raiz para ele. / p>

Sim, cada um deve ser instalado separadamente, pelo menos usando o Firefox. Acredito que existam utilitários de linha de comando / autônomos disponíveis para o NSS, o módulo Mozilla que faz criptografia e SSL / TLS usado pelo Firefox, entre outros. Espero que essas ferramentas provavelmente possam fazer algo tão básico quanto adicionar um certificado. Eles não estão incluídos na instalação do Windows do Firefox; Eu não sei sobre outras plataformas. O NSS é opensource, então presumivelmente você pode baixar e compilar você mesmo, mas aposto que seria muito mais trabalho do que apenas clicar na GUI algumas vezes.

    
por 10.01.2015 / 08:32