信任自签名 PEM 证书

Question

1. 我已经使用 PEM 证书设置了带有 SSL 的代理服务器。现在，我的几台机器我想自动信任这个证书（没有网络浏览器抱怨）。如何在每台机器上安装 PEM 证书？

2. 另外，更推荐的是：生成自签名证书还是连接蛇油证书？

Answer 1

1. 将您的证书复制到/etc/ssl/certs目标系统上。然后使用命令生成的哈希创建一个符号链接，openssl x509 -noout -hash -in ca-certificate-file替换ca-certificate-file为您的证书名称。然后，所有没有自己的证书存储区的程序都应该接受您的证书。

   对于具有自己的证书存储（浏览器、Java 和其他）的程序，您需要导入证书。

2. 最好生成自己的自签名或签名证书。

   您可能希望安装tinyca2并生成您自己的证书颁发机构。您可以按照上述步骤中的详细说明导入证书颁发机构证书。为您的应用程序生成和部署签名证书。

   将您的 CA 证书分发给需要信任您的证书的用户。您可能需要提供有关如何向他们导入证书的信息。警告：如果他们这样做，您将成为他们的另一个受信任的 CA，因此请相应地保护您的 CA。

   许多工具也可以配置为信任自签名证书，或具有不受信任的 CA 的证书。这通常是一次性操作。这比接受来自不安全机构的 CA 证书更安全，只有接受的证书才是可信的。

Answer 2

在Debian和Ubuntu，你必须将复制certificate.pem到/usr/local/share/ca-certificates/certificate.crt然后运行dpkg-reconfigure ca-certificates。/etc/ssl/certs由该命令管理。

Answer 3

浏览器有一个受信任的“证书颁发机构”(CA) 证书列表。如果服务器的证书由这些 CA 证书之一签名并且格式正确，您将不会收到 SSL 警告。

许多浏览器附带许多常见的 CA 证书，例如 Verisign、Thawte 等。大多数浏览器都允许您将新的 CA 导入到这个受信任的 CA 列表中。

就像创建自己的自签名服务器证书一样，您可以创建自己的自签名 CA 证书。然后您可以使用它来签署您的服务器证书。如果您的 CA 不是由知名公司提供的，如果它是您制作的，则不会，则必须在服务器端明确导入。

我以前xca也这样做过。它有用于 CA 和 HTTP 服务器的模板。程序是这样的：

• 为您的 CA 创建私钥
• 使用“CA”模板使用此密钥创建自签名 CA
• 为您的代理服务器创建私钥
• 使用第二个密钥创建“证书签名请求”(CSR)，引用您刚刚创建的 CA。
• “签署” CSR，您将拥有代理服务器证书，该证书引用您自己的 CA。

然后，您需要导出（如果使用，则为文件xca）CA 证书（但当然不包括私钥）。A.pem将生成，但您可以将扩展名更改为.crt. 当用户点击它时，它将被提供安装在 Firefox 和 Internet Explorer 上，也可能安装在其他主要浏览器上。至于这个 .crt 的自动安装，你可以：

• 在 IE 上使用组策略
• 将用户引导到介绍页面，要求他们下载/安装 .crt，如果他们想避免警告。

然后，您可以使用 HTTP 服务器证书上的导出功能（导出服务器端的私钥和证书）来放置您的代理服务器。