Problemas que importam o próprio certificado de CA

Question

Então, eu criei minha própria pequena CA para meus propósitos (dentro da minha rede, etc) e sei que a configuração funciona (eu posso importar diretamente a chave para os aplicativos, e eles se conectam ao servidor usando a chave ).

Mas! Quando tentei importar o certificado de autoridade de certificação para que todos os aplicativos possam usá-lo, eles não o fazem (firefox e chromium)

Eu tenho

• Colocou o cacert.pem em / etc / ssl / certs e executou o update-ca-certificates e o dpkg-reconfigure ca-certificates

• Colocou diretamente o certificado dentro do arquivo ca-certificates.crt (como não estava sendo colocado lá, apesar dos comandos anteriores)

Estou perplexo.

Informação:

Ubuntu Desktop, 12,04 x64

cat cacert.pem

-----BEGIN CERTIFICATE-----
MIIDCDCCAnG--snip--8guKJUzT
-----END CERTIFICATE-----

openssl x509 -em cacert.pem -noout -text

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 1xxxxxxxxxxxxxxxxxx3 (0xXXXXXXXXXXXXXX9)
    Signature Algorithm: sha1WithRSAEncryption
        Issuer: C=AU, ST=Western Australia, L=xx, O=xx, OU=Webmasters, CN=haven/emailAddress=xx
        Validity
            Not Before: Dec  8 11:47:37 2012 GMT
            Not After : Dec  6 11:47:37 2022 GMT
        Subject: C=AU, ST=Western Australia, L=xx, O=xx, OU=Webmasters, CN=haven/emailAddress=xx
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (1024 bit)
                Modulus:
                    00:xx:5b
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Subject Key Identifier: 
                38:xx:95
            X509v3 Authority Key Identifier: 
                keyid:38:xx:95

            X509v3 Basic Constraints: 
                CA:TRUE
    Signature Algorithm: sha1WithRSAEncryption
         7b:xx:d3

Obrigado antecipadamente!

    

Answer 1

Tente colocar seus certificados em / usr / share / ca-certificates

Em seguida, modifique o /etc/ca-certificates.conf para incluir uma referência ao seu novo certificado.

Em seguida, execute

update-ca-certificates

Atualização:

Então, fizemos mais algumas pesquisas sobre isso. Parece que o firefox não honra o banco de dados / etc / ssl / certs. Encontrou isso - é bem antigo, mas acredito que ainda seja o caso.

Tanto quanto eu posso dizer que cada usuário tem seu próprio banco de dados cert mantido no arquivo cert8.db em seu diretório de perfil. Isso pode ser atualizado usando o firefox diretamente (é um motivo para querer fazer esta linha de comando?) - mas, obviamente, cada usuário individual terá que fazer isso. Como alternativa, há uma maneira de fazer com que a linha de comando veja aqui e aqui . Você poderia criar um script para percorrer cada diretório de perfil de usuário para fazer isso (yuk!). Não parece ser uma maneira "boa" de fazer isso para todos os usuários, tanto quanto eu posso dizer.