Dotaz: Import podepsaných cert. UBUNTU

[chinook]

Mám na localu debian server, na kterém jsem si podle tohoto návodu vygeneroval a podepsal cert. https://www.digitalocean.com/community/tutorials/how-to-set-up-and-configure-a-certificate-authority-ca-on-debian-10

Na clientovi mám debian do hosts jsem si dal, že domena neco.local odpovídá IP serveru s DEBIANem.

Ale pokud ve firefoxu na klientu napíšu adresu neco.local vidím chybu cert. Bohužel systém cert nezná. Ale je vidět, že je podepsaný debianem.

Cert. jsem do systému naimportoval takto:

cp /tmp/ca.crt /usr/local/share/ca-certificates/
update-ca-certificates

Vše proběhlo v pořádku. Ale firefox cert nezná. Zkoušel jsem i import přímo do firefoxu, ale tam jej nevidím. Jak lze zkontrolovat, že systém cert. zná?

Odpovědi

[X]

Zkoušel jsem i import přímo do firefoxu, ale tam jej nevidím.

Jak nevidim? Mas to v nastaveni > Soukromi a zabezpeceni > Zobrazit certifikaty > Autority > Importovat a jeste bude potreba povolit vyjimku, protoze bude podepsany sam sebou.

[chinook]

Já nechci povolovat žádnou vyjímku. Chci vytvořit cert. aut. a tu naimportovat do systému, tak, by jí podepsané cert. bral systém jako důvěryhodné.

[Max]

Nevím jakou výjimku myslel, ale prostě FF a Thunderbird má vlastní úložiště certifikátů, viz níže. Přes to vlak nejede. Vlastní CA musíš naimportovat jak do OS, tak pak do FF a případně i Thunderbirdu.
Zdar Max

[chinook]

Dá se nějak ověřit, že je cert. naimportovan do OS? Když jej dám importovat ve firefoxu, tak jej mezi autoritama nikde nevidím. Do chrome jsem jej také musel importovat, ale tam jej vidím i funguje.

[Max]

Do chrome se nic neimportuje. Ten bere certifikáty z OS. Takže netuším, co jsi dělal.
Pokud CA importuješ do Autorit ve FF, tak ho tam prostě musíš vidět.
V OS ověříš cert tak, že si třeba zavoláš nějakou https službu, kde ten cert máš a Chrome ti to musí sežrat + třeba v příkazové řádce curl (samozřejmě bez parametru -k = ignorování nedůvěryhodného cert).
Zdar Max

[Max]

Ještě dodám, že samozřejmě musíš používat fqdn pro přístup na ty služby pod certifikátem, tj. snad se nesnažíš přistupovat přes IP?
Dále by jsi měl mít fqdn serveru v certifikátu vyplněný v "Alternativní jména subjektu" / subjectAltName.
A pak je tu věc, že třeba Apple nežere certifikáty, které mají delší platnost, než 1 rok. A postupně se k němu přidají ostatní.
Zdar Max

[Jendа]

Dá se nějak ověřit, že je cert. naimportovan do OS?

Ano, systémové certifikáty používá například wget, takže zkus stránku stáhnout s ním.

[Max]

Firefox nebere v potaz systémové certifikáty. Firefox i Thunderbird mají vlastní úložiště certifikátů.
Musíš tedy CA naimportovat do FF zvlášť přes Nastavení -> Soukromí a zabezpečení -> Certifikáty -> Zobrazit certifikáty -> Autority -> Importovat.

Chrome/chromium žere cert z OS, takže toto je třeba jen u Firefoxu a Thunderbirdu.
Pokud máš víc stanic, dá se to celé zautomatizovat startup scriptem. V případě Windows pak buď stejně, nebo pomocí GPO politik.
Zdar Max

[jejda]

A nastavení security.enterprise_roots.enabled nefunguje? V nápovědě firefoxu píšou že by mělo. Akorát to prý nehledá certifikáty v /usr/local/ ale v /usr/lib/. Taky by se mohlo zkusit ten certifikát natáhnout přímo přes policies.json.

[Max]

Minimálně v Linuxu to nenačítá systémové certifikáty, máš to i v té nápovědě. Tj. má to svou adresářovou strukturu, kterou se musíš řídit. Klasickým postupem přes update-ca-certificates to nenaladíš. A aby jsi globálně mohl zapnout "security.enterprise_roots.enabled", tak musíš nějaký konfigurák globálně šířit, což bude ten json, který jsem už zmínil. A v takovém případě už je lehčí a čistší použít i ten json na distribuci certifikátu do firefoxu. Aneb "security.enterprise_roots.enabled" je prostě výsměch. Chrome to umí by default a Firefox dělá polofunkční obezličky.
Zdar Max