Добавление самостоятельного сертификата в “доверенный список”

Я сгенерировал самоподписанный сертификат для моего сервера сборки, и я хотел бы установить доверие к этому сертификату на моем компьютере, так как я сам создал ключ и устал видеть предупреждения.

Я использую Ubuntu 12.04. Как я могу сделать так, чтобы сертификат был доверен глобально, чтобы браузеры (Google Chrome), утилиты командной строки (wget, curl) и языки программирования (Python, Java и т. д.) доверяли соединению с https://example.com без дополнительных вопросов?

Простого ответа на это нет, так как каждое приложение будет обрабатывать это по-разному.

Кроме того, OpenSSL и GNUTLS (самые распространенные библиотеки обработки сертификатов, используемые для работы с подписанными сертификатами) ведут себя по-разному в отношении сертификатов, что также усложняет ситуацию. Кроме этого, операционные системы используют разные механизмы для работы с «корневыми ЦА», используемыми большинством веб-сайтов.

Тем не менее, возьмем Debian в качестве примера. Установите пакет ca-certificates:

apt-get install ca-certificates

Затем скопируйте публичную часть вашего недоверенного сертификата ЦА (тот, который вы используете для подписи вашего CSR) в директорию сертификатов ЦА (под root):

cp cacert.crt /usr/share/ca-certificates

ПРИМЕЧАНИЕ: Сертификат должен иметь расширение .crt, чтобы его нашли.

Чтобы перегенерировать директорию с вашим сертификатом, запустите от имени root:

dpkg-reconfigure ca-certificates

И выберите опцию ask, прокрутите до вашего сертификата, отметьте его для включения и выберите ok.

Большинство браузеров используют свою собственную базу данных ЦА, поэтому для изменения их содержимого необходимо использовать инструменты, такие как certutil (в Debian это предоставляется пакетом libnss3-tools). Например, для Chrome вы можете запустить что-то вроде:

certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "My Homemade CA" -i /path/to/CA/cert.file

Firefox позволит вам просмотреть сертификат на диске, распознать его как файл сертификата и затем разрешить вам импортировать его в список корневых ЦА.

Большинство других команд, таких как curl, принимают параметры командной строки, которые вы можете использовать для указания на вашу ЦА,

 curl --cacert  /path/to/CA/cert.file https://...

или полностью отключить валидацию SSL

 curl --insecure https://...

Остальные приложения потребуют индивидуального исследования, если трюк с ca-certificates не сработает для этого конкретного приложения.

Неинтерактивный подход

Для использования в неинтерактивном контексте (например, в рецепте chef) вы можете использовать следующую последовательность.

sudo cp my.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

• Тестировалось и работает на debian 5/6 и Ubuntu 14.04.
• Для получения дополнительной информации смотрите man update-ca-certificates

Этот метод предпочтительнее метода @Drav, так как /usr/share/ обычно резервируется для файлов, добавляемых ОС / apt-get.

Fedora

На Fedora 23 добавьте файл .pem или .der в /etc/pki/ca-trust/source/anchors/ и выполните sudo update-ca-trust extract.

Смотрите man update-ca-trust для получения подробностей, например, использовать /etc или /usr.

Alpine

Добавьте .pem в /usr/local/share/ca-certificates/ и выполните update-ca-certificates.

Исходные файлы для этого инструмента Alpine находятся по адресу https://github.com/alpinelinux/ca-certificates/blob/898ab81b51730dcd175069956d6e792385c9f457/update-ca.c#L18

Больше

Даже между дистрибутивами Linux расположение пакета и механизмы добавления в него сильно различаются.

В качестве примера, приложение Golang в Linux по умолчанию будет смотреть в следующих местах:

var certFiles = []string{
  "/etc/ssl/certs/ca-certificates.crt",                // Debian/Ubuntu/Gentoo и др.
  "/etc/pki/tls/certs/ca-bundle.crt",                  // Fedora/RHEL 6
  "/etc/ssl/ca-bundle.pem",                            // OpenSUSE
  "/etc/pki/tls/cacert.pem",                           // OpenELEC
  "/etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem", // CentOS/RHEL 7
  "/etc/ssl/cert.pem",                                 // Alpine Linux
}

(цитируется с https://github.com/cert-manager/trust-manager/blob/main/design/20220722-publicbundle.md)

Хороший источник информации по этому вопросу — это Kubernetes cert-manager (https://cert-manager.io/).

В CentOS:

cp *.pem /etc/pki/ca-trust/source/anchors/
update-ca-trust extract

Неинтерактивный подход (Окт’18)
для современных систем на базе Debian

Есть различие между добавлением сертификата в хранилище хоста и активацией его, чтобы приложения действительно его использовали. Существующий сертификат в хранилище не обязательно используется (хотя я должен признать, что все равно много пакетов делают это неправильно)
Это может сбивать с толку, когда вы настраиваете пакет, который рассматривает /etc/ca-certificate.conf и просто отказывается использовать ваш сертификат, хотя он был добавлен без ошибок.
Вам нужно явно сказать update-ca-certificates, чтобы он (не просто скопировал, а) активировал сертификат, добавив его в /etc/ca-certificate.conf или /etc/ca-certificate/update.d.

CERT=mycert.crt
cp /mypath/to/$CERT /usr/share/ca-certificates/$CERT
    # обратите внимание на знак +, который указывает активировать сертификат!!!
echo "+$CERT" >/etc/ca-certificates/update.d/activate_my_cert
dpkg-reconfigure ca-certificates;

Теперь здесь становится запутанно, так как существует способ неявно доверять сертификату, используя другой путь:

CERT=mycert.crt
cp /mypath/to/$CERT /usr/local/share/ca-certificates/$CERT
update-ca-certificates;

sudo cp my.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

Эти 2 строки выше не сработали с первого раза.

После расследования выяснилось, что многие сертификаты исключены в /etc/ca-certificates.conf из-за того, что строки начинаются с !

Поэтому мне нужно было удалить 1-й символ во всех строках, которые начинаются с !

sudo sed -i '/^!/s/^.//g' /etc/ca-certificates.conf
sudo update-ca-certificates

Теперь curl работает без необходимости использовать опцию --cacert !!