CAs hinzufügen ...
Für den Fall, dass das noch jemand anderes benötigt.Um andere Certificate Authorities (CAs) zu Linux hinzuzufügen, sind nur kleine Schritte nötig. Hier einmal am Beispiel CAcert.
Debian:
curl http://www.cacert.org/certs/root.crt -o /usr/local/share/ca-certificates/cacert_root.crt
curl http://www.cacert.org/certs/class3.crt -o /usr/local/share/ca-certificates/cacert_class3.crt
update-ca-certificates
curl http://www.cacert.org/certs/class3.crt -o /usr/local/share/ca-certificates/cacert_class3.crt
update-ca-certificates
CentOS:
update-ca-trust enable
curl http://www.cacert.org/certs/root.crt -o /etc/pki/ca-trust/source/anchors/cacert_root.crt
curl http://www.cacert.org/certs/class3.crt -o /etc/pki/ca-trust/source/anchors/cacert_class3.crt
update-ca-trust extract
curl http://www.cacert.org/certs/root.crt -o /etc/pki/ca-trust/source/anchors/cacert_root.crt
curl http://www.cacert.org/certs/class3.crt -o /etc/pki/ca-trust/source/anchors/cacert_class3.crt
update-ca-trust extract
ACHTUNG: In jedem Fall sollte vor dem Ausführen von
update-ca-certificates bzw. update-ca-trust extract die Fingerprints der Zertifikate überprüft werden.
Trackbacks
Dirks Logbuch am : Zertifikate und CAs ...
Vorschau anzeigen
Nach dem Artikel CAs hinzufügen bin ich zurecht darauf "hingewiesen" worden, dass ich ein Wort zum Prüfen von Fingerprints hätte verlieren sollen, dass habe ich als Achtung noch nachträglich getan. Allerdings muss ich gestehen, dass ich das Thema rund um
Kommentare
Ansicht der Kommentare: Linear | Verschachtelt
Shogun am :
Dirk Deimeke am :
Dirk Wetter am :
2) Das gewissenhafte Hinzufügen von CACert-CAs ist nach erstem Hinschauen nicht so trivial. Also erstmal -- siehe Warnnug von Dirk D -- nicht einfach die Befehle ausführen, sondern nachdenken! Wer irgendwelche Root-CAs ohne Verifizierung sich in Zertifikatsspeicher reinwürfelt wird mit potenziellem MiTM nicht unter 30 Jahren bestraft.
3) Ohne groß reinzuschauen: Wer die Root-CA von CACert nicht hat und den Fingerprint nicht von einer dritten Seite sich besorgen kann, steht vor einem Problem: Per HTTPS kommt man nicht an das CACert ohne dem Root-Zertifikat zu vertrauen, was sie leider selber verwenden. Da wäre eine "trusted CA" prima, obwohl das natürlich schlechte Eigenwerbung wär. Chicken-Egg-Problem 1.
4) Der Fingerprint befindet sich auch auf derselben Seite -- Chicken-Egg-Problem 2.
Anscheinsbeweis: wer nach dem Fingerprint googelt ( openssl x509 -in root.crt -fingerprint -noout) ) sieht, dass es eine Menge Treffer gibt. Wenn man diesem Fingerprint auch hat, erscheint es unwahrscheinlich, dass der falsch ist. Wenn man dann möchte und Gründe hat, kann man das CACert in seinen heiligen Zertifikatsspeicher einfügen.
Dirk Deimeke am :
Mit allen Deinen Punkten gebe ich Dir Recht. Ich habe einen Artikel für Morgen vorbereitet, der das Thema aus meiner Sicht zusammenfasst.
Du kommst nicht darum herum an irgendeinem Punkt des ganzen Verfahrens zu vertrauen. Es gibt keine hundertprozentige Sicherheit, ich wüsste auch nicht, wie man die herstellen könnte.
(Danke, dass Du hier im Blog noch kommentiert hast).