Implantar a CA interna nos clientes linux

8

Eu tenho um grande número de estações de trabalho que executam o RedHat Enterprise Linux 5 e 6. Gostaria de implantar nossa nova CA interna (Active Directory) nessas máquinas. Posso importar manualmente o certificado para o Firefox 10 sem problemas, mas não consigo encontrar onde armazenar o arquivo .cer no sistema de arquivos para que ele seja usado pelo FireFox e pelo Google Chrome. Existe um local central para CAs confiáveis ​​usado por esses dois navegadores?

Caso contrário, eu aceitaria uma maneira mais automatizada de fazer com que o FireFox aceite minha CA.

Coisas que eu tentei

  • Usando o Mozilla fornecido certutil- mas isso parece lidar apenas com certificados do lado do cliente, a menos que eu esteja enganado.
  • Modificação /etc/pki/tls/ca-bundle.crtincluída no ca-certificatespacote. O Firefox não parece honrar este arquivo.
redhat firefox certificate-authority Kyle Smith
fonte
Eu nunca o usei, mas o Firefox vem com uma ferramenta chamada certutil( mozilla.org/projects/security/pki/nss/tools/certutil.html ). Eu acho que isso pode fazer o que você precisa, pelo menos no Firefox.
Kenny Rasschaert
De um toque inicial, parece que o NSS DB não contém CAs, mas certificados do lado do cliente.
Kyle Smith #

Respostas:

3

Para o Firefox: o FF armazena o certificado no perfil do usuário, você precisa importar o certificado para cada perfil em cada caixa. Para CAs confiáveis, o certificado deve estar no formato PEM e importado usando o certutilcomando (disponível no nss-toolspacote no RedHat):

Você pode usar este comando para listar os certificados:

certutil -L -d ~/.mozilla/firefox/[profile]

Em seguida, o certificado pode ser importado usando:

certutil -A -n 'Certificate Name' -t CT,, -d ~/.mozilla/firefox/[profile] < /path/to/certificate.pem

Consulte http://www.dzhang.com/blog/2011/01/29/importing-exporting-firefox-certificates-from-command-line para obter detalhes.

De acordo com o wiki do chromium, você pode usar o certutil para chromium. Não sei se isso também funcionará para o estoque de cromo.

Com um pouco de script, deve ser possível implantar automaticamente sua autoridade de certificação do AD nesse ambiente.

ercpe
fonte
Obrigado por esta resposta, parece muito promissor. Assim que tiver alguns momentos livres, ficarei feliz em testar e fornecer uma marca de seleção verde brilhante!
Kyle Smith #
Obrigado por me apontar na direção certa. Parece que os pk12utilcertificados no formato pkcs12 são para autenticação do lado do cliente, mas isso me fez começar a analisar certutilquais podem modificar a confiança da CA. Vou editar a resposta com mais algumas informações, se você estiver curioso.
Kyle Smith #