සහතික සඳහා මුදල් නොගෙවා අපගේ කාර්යයේ විවිධ පැතිකඩයන් ආරක්ෂිතව හැසිරවීමට ඔවුන්ගේම සහතික අධිකාරියක් (CA) නිකුත් කිරීමට මගේ කාර්යය තීරණය කර ඇත .

• ගුප්ත ලේඛනගත ඊමේල් අත්සන් කරන්න
• ඊමේල් අන්තර්ගතයන් සංකේතනය කරන්න
• සමාගමේ IRC සේවාදායක-සහතිකය පදනම් කරගත් දේ වෙත ප්‍රවේශය ලබා දෙන්න .
• හිටපු සේවකයින්ගේ යතුරු ස්වයංක්‍රීයව අවලංගු කරන්න

ඔවුන් මට .pemගොනුවක් එවූ අතර එය මගේ උබුන්ටු ස්ථාපනයට එකතු කරන්නේ කෙසේදැයි මට විශ්වාස නැත. යවන ලද උපදෙස් වූයේ: "මැක් මත එය මත දෙවරක් ක්ලික් කිරීමෙන් එය ස්ථාපනය කළ යුතුය." 

මා ඉදිරියට යන්නේ කෙසේද? මම යමක් කිරීමට අවශ්ය වන්නේ ඇයි OpenSSL නිර්මාණය කිරීමට .key, .csrහෝ .crtගොනු?

CA එකක් ස්ථාපනය කිරීම

ඔබගේ සහතිකය PEM ආකෘතියෙන් (එහි ඇති ආකෘතිය ----BEGIN CERTIFICATE----) පිටපත් /usr/local/share/ca-certificatesකර .crtගොනු දිගුවක් සමඟ නම් කරන්න.

ඉන්පසු දුවන්න sudo update-ca-certificates.

Caveats: මෙම ස්ථාපනය බලපාන්නේ මෙම සහතික ගබඩාව භාවිතා කරන නිෂ්පාදන වලට පමණි. සමහර නිෂ්පාදන වෙනත් සහතික වෙළඳසැල් භාවිතා කළ හැකිය; ඔබ එම නිෂ්පාදන භාවිතා කරන්නේ නම්, ඔබට මෙම CA සහතිකය වෙනත් සහතික ගබඩාවලට එක් කිරීමට අවශ්‍ය වේ. ( ෆයර්ෆොක්ස් උපදෙස් , ක්‍රෝම් උපදෙස් , ජාවා උපදෙස් )

CA පරීක්ෂා කිරීම

ඔබ දැන් එකතු කළ සහතිකය සෙවීමෙන් මෙය ක්‍රියාත්මක වූයේ දැයි ඔබට සත්‍යාපනය කළ හැකිය /etc/ssl/certs/ca-certificates.crt (එය ඔබගේ විශ්වාසදායක CA හි සියලු දෙනාගේ එකට එකතු වූ දීර් list ලැයිස්තුවකි).

ඔබ විසින් ස්ථාපනය කරන ලද CA විසින් අත්සන් කරන ලද සහතිකයක් භාවිතා කරන බව ඔබ දන්නා සේවාදායකයකට සම්බන්ධ වීමට උත්සාහ කිරීමෙන් ඔබට OpenSSL හි s_client භාවිතා කළ හැකිය.

$ openssl s_client -connect foo.whatever.com:443 -CApath /etc/ssl/certs

CONNECTED(00000003)
depth=1 C = US, ST = Virginia, O = "Whatever, Inc.", CN = whatever.com, emailAddress = admin@whatever.com
verify return:1
depth=0 C = US, ST = Virginia, L = Arlington, O = "Whatever, Inc.", CN = foo.whatever.com
verify return:1
---
Certificate chain
 0 s:/C=US/ST=Virginia/L=Arlington/O=Whatever, Inc./CN=foo.whatever.com
   i:/C=US/ST=Virginia/O=Whatever, Inc./CN=whatever.com/emailAddress=admin@whatever.com

... snip lots of output ...

    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1392837700
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)

සොයා බැලිය යුතු පළමු දෙය නම් නිමැවුමේ ඉහළින් ඇති සහතික දාමයයි. මෙය නිකුත් කරන්නා ලෙස සීඅයිඒ පෙන්විය යුතුය (ඊළඟට i:). ඔබ ස්ථාපනය කරන CA විසින් අත්සන් කරන ලද සහතිකයක් සේවාදායකයා විසින් ඉදිරිපත් කරන බව මෙය ඔබට කියයි.

දෙවනුව, verify return codeසකස් කළ යුතු අවසානය දෙස බලන්න 0 (ok).

man update-ca- සහතික :

update-ca-certificates  is a program that updates the directory /etc/ssl/certs to hold SSL
certificates  and  generates  ca-certificates.crt,  a  concatenated  single-file  list  of
certificates.

It  reads  the  file  /etc/ca-certificates.conf.  Each  line  gives  a  pathname  of  a CA
certificate under /usr/share/ca-certificates that should be  trusted.   Lines  that  begin
with  "#"  are  comment lines and thus ignored.  Lines that begin with "!" are deselected,
causing the deactivation of the CA certificate in question. Certificates must have a  .crt
extension in order to be included by update-ca-certificates.

Furthermore  all  certificates  with  a  .crt  extension  found below /usr/local/share/ca-
certificates are also included as implicitly trusted.

ඉහත සිට, මම විශ්වාස කරන්නේ දේශීය සහතික ලිපිගොනු විශ්වාසදායක ගබඩාවට ලබා ගැනීමට වඩාත් සුදුසු ක්‍රමය ඒවා දමා ඒවා /usr/local/share/ca-certificatesක්‍රියාත්මක update-ca-certificatesකිරීමයි. ඔබට /etc/ssl/certsකෙලින්ම ස්පර්ශ කිරීමට අවශ්‍ය නැත .

update-ca-certificatesපද්ධති සහතික ගබඩාවෙන් කියවන යෙදුම් සඳහා අනෙක් පිළිතුරු නිවැරදි ය. ක්‍රෝම් සහ ෆයර්ෆොක්ස් සහ තවත් සමහර අය සඳහා, සහතිකය මොසිල්ලා එන්එස්එස් පුස්තකාලයේ පසුබිම වන එන්එස්ඩීබී තුළ තැබිය යුතුය.

Https://code.google.com/p/chromium/wiki/LinuxCertManagement වෙතින් :

උදාහරණයක් ලෙස, SSL සේවාදායක සහතික නිකුත් කිරීම සඳහා root CA සහතිකයක් විශ්වාස කිරීමට, භාවිතා කරන්න

certutil -d sql: OM HOME / .pki / nssdb -A -t "C ,," -n <සහතිකයේ අන්වර්ථ නාමය> -i <සහතික ගොනු නාමය>

<certificate nickname>අත්තනෝමතික වන්නේ කොතැනද , <certificate filename>එය ඔබගේ .pem හෝ .crt ගොනුව වේ.

වෙනත් ප්‍රයෝජනවත් යොමු කිරීම්:

• සාමාන්‍ය විස්තරය: https://wiki.archlinux.org/index.php/Network_Security_Services
• certutilman පිටුව, ඉහත භාවිතා කළ පරාමිතීන් විස්තර කරයි: https://developer.mozilla.org/en-US/docs/NSS_reference/NSS_tools_:_certutil

මට එකම ගැටළුවක් ඇති අතර, .pemගොනුව /usr/local/share/ca-certificatesනැවත නම් කිරීමට මට සිදුවිය .crt. මෙම .cerගොනුව ඉතා පහසුවෙන් පරිවර්තනය කළ හැක .pem, OpenSSL සමග, උදාහරණයක් ලෙස, නෑ ඔබ නොමැති නම් .pem.

ගොනුව පිටපත් කිරීමෙන් පසු ඔබ ක්‍රියාත්මක කළ යුතුය sudo update-ca-certificates.

ඩේබියන් මත පදනම් වූ නව ගොඩනැඟිලි සඳහා, ඔබට ධාවනය කිරීමට අවශ්‍ය විය හැකිය:

sudo dpkg-reconfigure ca-certificates

සටහන: sudo dpkg-ca- සහතික නැවත සකස් කිරීම අභ්‍යන්තරව යාවත්කාලීන-ca- සහතික අමතයි

ඔබ මේ කිසිවක් කිරීමට පෙර සහතිකය (.crt ගොනුව) / usr / share / ca- සහතික වෙත පිටපත් කළ යුතුය.

Dwmw2 හි පිළිතුර මත පදනම්ව , ඔබට ඇත්ත වශයෙන්ම NSS එහි සහතික කළමනාකරණය සඳහා පද්ධති විශ්වාස ගබඩාව භාවිතා කරන යෙදුම් වලට පැවසිය හැකිය.

libnss3පෙරනිමියෙන් කියවීමට-පමණක් මූල CA සහතික කට්ටලයක් සහිත නැව් ( libnssckbi.so), එබැවින් බොහෝ විට ඔබ ඒවා ඔබ විසින්ම දේශීය පරිශීලක විශ්වාස ගබඩාවට එකතු කළ යුතුය $HOME/.pki/nssdb. ස්ථාපනය කර ඇති පද්ධතිය පුරා ඇති මූල සහතික සඳහා ඇඩැප්ටරයක් ​​ලෙස ක්‍රියා කරන ඒ p11-kitසඳහා ඩ්‍රොප්-ඉන් ආදේශනයක් ඉදිරිපත් libnssckbi.soකරයි /etc/ssl/certs.

සංස්කරණය කරන්න:

libnssckbi.soඇතුළට වඩා වැඩි සංස්කරණයක් එහි ඇති බව පෙනේ libnss3. පහත දැක්වෙන්නේ ඒවා සියල්ලම සොයා ගැනීමට, ඒවා උපස්ථ කිරීමට සහ ඒවාට සබැඳි ආදේශ කිරීමට ය p11-kit:

sudo apt-get update && sudo apt-get install -y p11-kit libnss3
find / -type f -name "libnssckbi.so" 2>/dev/null | while read line; do
    sudo mv $line ${line}.bak
    sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so $line
done

මුල් උපදෙස්:

මෙය සිදු කිරීම සඳහා, ස්ථාපනය p11-kitකර libnss3(ඒවා දැනටමත් ස්ථාපනය කර නොමැති නම්):

sudo apt-get update && sudo apt-get install -y p11-kit libnss3

ඉන්පසු libnssckbi.soසපයන ලද උපස්ථය libnss3:

sudo mv /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so.bak

අවසාන වශයෙන්, සංකේතාත්මක සබැඳිය සාදන්න:

sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so

එය ක්‍රියාත්මක වූ බව සනාථ කිරීම සඳහා, ඔබට ධාවනය කළ හැකි ll /usr/lib/x86_64-linux-gnu/nss/libnssckbi.soඅතර එය සබැඳිය පෙන්විය යුතුය:

lrwxrwxrwx 1 root root 49 Apr  9 20:28 /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so -> /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so

දැන්, ඔබ භාවිතා කරමින් CA ගබඩාවට සහතිකයක් එකතු කරන්නේ නම් update-ca-certificates, එම සහතික දැන් libnss3ක්‍රෝම් වැනි එන්එස්එස් ( ) භාවිතා කරන යෙදුම් සඳහා ලබා ගත හැකිය .

සටහන් කර ඇති පරිදි, එන්එස්එස් භාවිතා කරන විවිධ යෙදුම් වලට තමන්ගේම සහතික ගබඩාවක් ඇත. උබුන්ටු මත දේවල් පවතින බැවින් certutil, එක් එක් යෙදුම සඳහා, එක් එක් පරිශීලකයා සඳහා ඔබේ CA එකතු කිරීමට ඔබ අතින් භාවිතා කළ යුතුය.

ෆෙඩෝරා වැනි වෙනත් බෙදාහැරීම් වලදී, මේ ආකාරයේ දේ ජස්ට් වර්ක්ස් ™ වන අතර ඔබ ස්ථාපනය කරන සීඅයිඒ ස්වයංක්‍රීයව විශ්වාස නොකරන ඕනෑම යෙදුමකට එරෙහිව දෝෂයක් ගොනු කළ යුතුය update-ca-trust.

ඔබ මෙම උබුන්ටු තුළ ද ස්ථාපනය විසින් අදාල කරුණ නිවැරදි කළ හැකි p11-kit-modulesපැකේජය හා පසුව NSS වෙනුවට බිල්ට් විශ්වාසය මුල් ල p11-kit-trust.so, සිට, උදාහරණයක් වශයෙන්, සංකේතාත්මක පුරුකක් කරමින් /usr/lib/firefox/libnssckbi.soකිරීමට/usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so

එවිට ඔබ ඇත පද්ධතියේ මානකරනය විශ්වාසය මුල්, නෑ සමහර දැඩි, ව්යංගාර්ථවත්ව අය ලබා ගන්න. උබුන්ටු එම libnssckbi.so පුස්තකාලයේ විවිධ පිටපත් දෘඩ කේත සහිත විශ්වාස මූලයන් සමඟ නැව්ගත කරන බව සලකන්න, ඔබ ඒවා සියල්ලම ප්‍රතිස්ථාපනය කළ යුතුය!

cf. https://bugs.launchpad.net/ubuntu/+source/nss/+bug/1647285

මෙහි එක් කිරීම සඳහා බරපතල මෝඩ පිළිතුරක්, නමුත් මම පැය 2 ක් ලිනක්ස් වල සර්ටිටයිල් සමඟ ඉදිරියට හා පසුපසට ගියෙමි ... සියල්ල නිවැරදි යැයි මට විශ්වාසයි:

hutber@hutber-mint /var/www/asos-mvt-framework $ certutil -L -d sql:${HOME}/.pki/nssdb

Certificate Nickname                                         Trust Attributes
                                                             SSL,S/MIME,JAR/XPI

anyproxy                                                     CT,, 
rootCA                                                       CT,, 
myasos                                                       CT,, 

නමුත් තවමත්, ක්‍රෝම් හි කිසිවක් ක්‍රියාත්මක නොවීය. මම හැම දෙයක්ම අත්හදා බැලුවා, අවසානයේ ....

Restarting Chrome

අනුගමනය කිරීමෙන් පසු මගේ සාර්ථකත්වයට යතුර වූයේ: ස්ටීවන් සඳුදා උපදෙස්