Ajout d'un certificat auto-signé à la «liste de confiance»

J'ai généré un certificat auto-signé pour mon serveur de build et je voudrais faire confiance au certificat sur ma machine, car j'ai créé la clé moi-même et j'en ai marre de voir des avertissements.

Je suis sur Ubuntu 12.04. Comment puis - je prendre le certificat et la confiance dans le monde afin que les navigateurs (Google Chrome), les services publics CLI (wget, curl), et les langages de programmation (Python, Java, etc.) font confiance à la connexion à https://mysite.com sans demander des questions?

La réponse simple à cette question est que chaque application le traitera différemment.

OpenSSL et GNUTLS (les bibliothèques de traitement de certificats les plus largement utilisées pour traiter les certificats signés) se comportent différemment dans le traitement des certificats, ce qui complique également le problème. De plus, les systèmes d'exploitation utilisent différents mécanismes pour utiliser la "racine" utilisée par la plupart des sites Web.

Cela mis à part, en donnant l'exemple de Debian. Installez le ca-certificatespaquet:

apt-get install ca-certificates

Vous copiez ensuite la moitié publique de votre certificat de CA non approuvé (celui que vous utilisez pour signer votre CSR) dans le répertoire du certificat de CA (en tant que root):

cp cacert.pem /usr/share/ca-certificates

Et faites-le reconstruire le répertoire avec votre certificat inclus, lancez en tant que root:

dpkg-reconfigure ca-certificates

et sélectionnez l' askoption, faites défiler jusqu'à votre certificat, marquez-le pour l'inclusion et sélectionnez ok.

La plupart des navigateurs utilisent leur propre base de données d'autorité de certification et des outils tels que ceux-ci certutildoivent donc être utilisés pour modifier leur contenu (sur Debian fournie par le libnss3-toolspaquet). Par exemple, avec Chrome, vous exécutez quelque chose dans le sens suivant:

certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "My Homemade CA" -i /path/to/CA/cert.file

Firefox vous permettra de rechercher le certificat sur le disque, de reconnaître un fichier de certificat, puis de l’importer dans la liste des autorités de certification racines.

La plupart des autres commandes, telles que les curloptions de prise de ligne de commande que vous pouvez utiliser pour pointer sur votre autorité de certification,

 curl --cacert  /path/to/CA/cert.file https://...

ou abandonner complètement la validation SSL

 curl --insecure https://...

Le reste nécessitera une enquête individuelle si le ca-certificatesmême truc ne le règle pas pour cette application particulière.

Approche non interactive

Pour une utilisation dans un contexte non interactif (par exemple, une recette de chef), vous pouvez utiliser la séquence suivante.

sudo cp my.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

• Testé et fonctionne sur debian 5/6 & Ubuntu 14.04.
• Pour plus d'informations, voir man update-ca-certificates

Cette méthode est préférable à celle de @ Drav, car elle /usr/share/est généralement réservée aux fichiers ajoutés par le système d'exploitation / apt-get.

Sur Fedora 23, ajoutez le fichier .pem ou .der à /etc/pki/ca-trust/source/anchors/et exécutez-le sudo update-ca-trust extract.

Voir man update-ca-trustpour plus de détails, par exemple s'il faut utiliser / etc ou / usr.

En centos:

cp *.pem /etc/pki/ca-trust/source/anchors/
update-ca-trust extract

Approche non interactive (octobre 18)
pour les systèmes récents basés sur Debian

Il y a une différence entre ajouter un certificat au magasin de l'hôte et l'activer pour que les applications l'utilisent vraiment. Un certificat existant dans le magasin n'est pas nécessairement utilisé (bien que je dois admettre que beaucoup de paquets se trompent quand même)
Cela peut être déroutant lorsque vous configurez un paquet qui considère /etc/ca-certificate.confet refuse simplement d'utiliser votre certificat alors qu'il a été ajouté sans erreur. Vous devez indiquer update-ca-certificatesexplicitement (non seulement copier mais) activer le certificat en l'ajoutant à /etc/ca-certificate.confou /etc/ca-certificate/update.d.

CERT=mycert.crt
cp /mypath/to/$CERT /usr/share/ca-certificates/$CERT
    # notice the + sign which tells to activate the cert!!!
echo "+$CERT" >/etc/ca-certificates/update.d/activate_my_cert
dpkg-reconfigure ca-certificates;

Maintenant, ici, cela devient confus car il existe un moyen de faire implicitement confiance à un certificat en utilisant un chemin différent:

CERT=mycert.crt
cp /mypath/to/$CERT /usr/local/share/ca-certificates/$CERT
update-ca-certificates;