在 redhat 中导入自签名证书

Question

如何在 Red-Hat Linux 中导入自签名证书。

我不是证书方面的专家，我很难通过谷歌搜索找到正确的答案，因为我不知道 .cer、.crt 或 .pem 之间的区别。话虽如此，我想做的不应该是火箭科学（在 Windows 中，我只需在浏览器中点击几下就可以做到这一点） 我想连接到使用自签名证书的服务器。例如使用 wget，而不必使用 --no-check-certificate 选项。 为了完成这项工作，我必须将服务器的自签名证书添加到我的 RedHat 盒子中。我发现证书位于 /etc/pki/tls 中。但是我不知道应该执行什么操作才能使 wget 正常运行而不会抱怨。

我可以使用以下方式从服务器获取 SSL 证书：

openssl s_client -connect server:443

证书介于“BEGIN CERTIFICATE 和 END CERTIFICATE”之间，不知道这是什么证书。 接下来我必须将它放在 /etc/pki/tls/certs 目录中并应用一些我不知道的 openssl secert 酱。 你能帮忙吗？

Answer 1

我不知道将特定站点证书导入 OpenSSL 信任数据库的方法（我希望我这样做了！），但是由于您在谈论自签名证书，我们可以通过导入您的证书来处理它作为新的受信任 CA 证书。但警告：您还将信任任何由该证书签名的网站。

查找并下​​载证书

您可以通过以下方式直接从网站快速下载自签名证书：

openssl s_client -connect server:443 <<<'' | openssl x509 -out /path/file

请注意，您应该仅在自签名证书的情况下执行此操作（如原始问题中所述）。 如果证书是由其他 CA 签署的，则不能使用上述方法运行；相反，您需要找到相应的 CA 证书并下载。

导入证书并使其受信任

update-ca-trust 命令是通过RHEA-2013-1596 在 Fedora 19 和 RHEL6 中添加的。如果你有它，你的步骤很简单（但需要 root/sudo）：

1. 将 CA 证书复制到 /etc/pki/ca-trust/source/anchors/
2. update-ca-trust enable; update-ca-trust extract
3. （请注意，在 RHEL7 和现代 Fedora 中，enable 命令不是必需的）

如果您没有 update-ca-trust，它只会稍微困难一些（并且仍然需要 root/sudo）：

1. cd /etc/pki/tls/certs
2. 在此处复制 CA 证书
3. ln -sv YOURCERT $(openssl x509 -in YOURCERT -noout -hash).0

PS：这个问题提到了 Red Hat，但对于任何想要在 Fedora/RHEL 之外的其他东西上做同样事情的人来说，wiki.cacert.org/FAQ/ImportRootCert 可能会有所帮助。

Answer 2

您可以使用以下步骤做您想做的事情：

1. 将 SSL 证书（包括“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”行）放入目录“@987654321”中的文件中@" - 举个例子，我们称它为“myserver.pem”。

2. 通过运行计算此证书的证书哈希

   openssl x509 -noout -hash -in /etc/pki/tls/certs/myserver.pem

   为了举例，假设哈希值为“1a2b3c4d”。

3. 根据这个hash值在certs目录下做一个符号链接，像这样：

   ln -s /etc/pki/tls/certs/myserver.pem /etc/pki/tls/certs/1a2b3c4d.0

   我假设这个目录中已经没有其他证书可以散列到相同的散列值 - 如果已经有一个“1a2b3c4d.0”，那么将你的链接改为“1a2b3c4d.1”（或者如果有已经是“.1”，让你的“.2”，等等...）

wget 和其他使用 SSL 的工具随后会将该证书识别为有效。使用 GUI 可能有更简单的方法，但可以通过命令行来完成。