Início / computer / Perguntas / 1430089
Accepted
user11416578
Asked: 2019-04-27 07:57:34 +0800 CST

Como adicionar um certificado SSL autoassinado ao armazenamento confiável do Linux (Ubuntu/Alpine)?

  • 772

Seguiu o que parece ser o procedimento padrão para adicionar um certificado à confiança do Linux e parece adicionar o certificado:

$ sudo cp foo.crt /usr/local/share/ca-certificates/foo.crt`
$ sudo update-ca-certificates
Updating certificates in /etc/ssl/certs...
1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d...
done.

No entanto curl, wgetrecuse-se a conectar-se a um servidor com esse certificado, com estes erros:

verify error: Unable to get local issuer certificate

Unable to locally verify the issuer's authority

(Ele se conecta se a verificação estiver desativada com curl -k, mas isso não é uma solução.)

O próprio certificado foi criado usando este comando e é usado para habilitar o SSL em uma instância local do Gitlab (nginx):

$ openssl req -x509 -days 365 -newkey rsa:1024 -keyout bar.pem -nodes -out foo.crt -config openssl_conf

onde openssl_confestá:

distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no
[req_distinguished_name]
C = XX
ST = XX
L = XXX
O = XXXX
OU = XXXX
CN = ...
[v3_req]
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
IP.1 = XX.XX.X.X
linux certificate

1 respostas

  1. Best Answer

    O problema parecia estar no arquivo de configuração openssl para geração de cert (parece que não foi suficientemente preenchido). Os certificados criados com este novo arquivo de configuração foram adicionados com sucesso ao armazenamento confiável com update-ca-certificates. Com base neste post , parece que a linha chave aqui é basicConstraints = CA:true.

    [req]
days                   = 180
serial                 = 1
distinguished_name     = req_distinguished_name
x509_extensions        = v3_ca
prompt = no

[req_distinguished_name]
countryName            = XX
stateOrProvinceName    = XX
localityName           = XX
organizationName       = XXX
organizationalUnitName = XXX
commonName             = new-cert

[v3_ca]
subjectKeyIdentifier   = hash
authorityKeyIdentifier = keyid:always,issuer:always
basicConstraints       = CA:true
keyUsage               = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment, keyAgreement, keyCertSign
issuerAltName          = issuer:copy
subjectAltName = @alt_names
[alt_names]
IP.1 = X.X.XX.XX

    (Mesmo comando de geração de cert)

    $ openssl req -x509 -days 365 -newkey rsa:1024 -keyout bar.pem -nodes -out foo.crt -config openssl_conf

    (Mesmo método para adicionar certificado ao armazenamento confiável)

    $ sudo cp foo.crt /usr/local/share/ca-certificates/foo.crt`
$ sudo update-ca-certificates
Updating certificates in /etc/ssl/certs...
1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d...
done.
    • 5

relate perguntas