incapaz de verificar o primeiro certificado

Question

Eu uso o openssl para criar um certificado CA auto-assinado no Ubuntu gnome 16.04, e usar este certificado CA para assinar um certificado para postfix e httpd, mas ao usar tls para conectar o postfix, o comando era:

openssl s_client -connect xiedeacc.com:587 -starttls smtp

vai reclamar

e retorna:

verify error:num=21:unable to verify the first certificate
Verify return code: 21 (unable to verify the first certificate)

mas ao mudar o comando para

openssl s_client -connect xiedeacc.com:587 -starttls smtp -CAfile /etc/ssl/certs/xiedeaccca.crt

a saída estava bem, não há problema, por isso acho que o ssclient do openssl não consegue encontrar essa CA auto-assinada, mas o chrome pode visitar este site assinado pela CA depois de importá-lo manualmente para a lista raiz do chrome cert. Então, como importá-lo para a lista raiz de certificados do Ubuntu, mas não apenas para a lista de certificados raiz do Chrome? O Ubuntu armazena certificados de CA como janelas?

    

Answer 1

Para importar sua CA autoassinada para a lista raiz de certificados do Ubuntu, você precisa configurar ca-certificates :

Primeiro, crie um diretório chamado /usr/share/ca-certificates/extra :

sudo mkdir /usr/share/ca-certificates/extra'

Em seguida, copie seu certificado de CA para o diretório:

sudo cp /etc/ssl/certs/xiedeaccca.crt /usr/share/ca-certificates/extra/xiedeaccca.crt

Por fim, reconfigure ca-certificates :

sudo dpkg-reconfigure ca-certificates

Pressione Space para selecionar seus certificados de CA auto-assinados, e você deve estar pronto.