wikinotes

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
{{tag>sysadmin netadmin ssl tls certificat ca}}


====== Vérifier et installer un certificat d'autorité racine ======

Notes concernant le test d'une chaîne de certification et l'installation de certificat racine sur un système de type Debian-like.

On cherche à vérifier la disponibilité d'un certificat d'autorité de certification racine (Root CA), son numéro de série, son empreinte et à l'installer sur le système s'il est manquant.


On peut utiliser les outils **openssl** ou **curl** pour vérifier les chaînes de certifications.

===== Vérification =====

Pour vérifier que la chaîne de certification est valide pour un serveur donné:

<code bash>
curl --verbose https://fqdn
</code>

Si la connexion est valide et vérifiée par une autorité de certification racine présente sur le système alors une ligne de la forme suivante est affichée:

<file>
* SSL certificate verify ok.
</file>

Si le certificat ou la chaîne de certificats présentée par le serveur distant est signée par une Autorité  de certification non reconnue par le système courant, un message de la forme suivante est affiché:

<file>
* SSL certificate problem: self signed certificate in certificate chain
</file> 

La même vérification peut être faite avec openssl:

<code bash>
openssl s_client -connect fqdn:443
</code>

En cas d’échec un message du type ci-dessous est affiché
<file>
...
verify error:num=19:self signed certificate in certificate chain
...
</file>

Avant toute installation (importation) d'un certificat désignant une Autorité de certification racine, il faut vérifier que le numéro de série et l'empreinte sont corrects. Pour cela on utilise **opensssl**

<code bash>
openssl x509 -noout -fingerprint -serial -in root_ca.cert.pem

# Si openssl n'arrive pas à décoder le  certificat,
# spécifier le format en entrée avec l'argument -inform
openssl x509 -noout -serial -fingerprint -sha1 -inform der -in root_ca.cert.crt
</code>


Vérifier que le certificat racine valide la chaine: 
<code bash>
curl --verbose --cacert root_ca.cert.pem https://fqdn

# équivalent
openssl s_client -connect fqdn:443 -CAfile root_ca.cert.pem
</code>


===== Importer un certificat =====

==== GNU/Linux ====

La commande **update-ca-certificates** permet de mettre à jour la liste des certificats racines de confiance du système.

Pour que la commande prenne en compte les certificats il faut :
  * que les certificats soient au format PEM avec l' extension ''.crt'' ;
  * ils doivent être listés dans le fichier ''/etc/ca-certificates.conf''.


<code bash>
# Copier le certificat dans le répertoire /usr/share/ca-certificates/
sudo cp phobos-ca-chain.crt /usr/share/ca-certificates

# Mettre à jour le fichier /etc/ca-certificates.conf
# Ajouter le nom du fichier certificat en fin de fichier
vi /etc/ca-certificates.conf

# Mettre a jour la liste des certificats
sudo update-ca-certificates
</code>

La commande **update-ca-certificates** récupère les certificats racines présents dans les différents répertoires système et les concatène dans un fichier unique qui pourra être utilisés par les différents clients et navigateurs.

Si la commande a bien pris en compte le certificat, un lien symbolique doit également exister dans le répertoire ''/etc/ssl/certs''.



==== Firefox ====

Pour importer les certificats d'une Autorité de Certification (CA) dans Firefox:
  * **Menu** > **Paramètres**;
  * Dans le panneau gauche sélectionner **Vie privée et sécurité**;
  * Dans le panneau principal section **Sécurité** > Certificats > bouton **Afficher les certificats...**;
  * Sélectionner l'onglet **Autorités** puis cliquer sur le bouton **Importer...**


==== Windows ====

===== Références =====

  * https://support.nmi.com/hc/en-gb/articles/360021544791-How-to-Check-if-the-Correct-Certificates-Are-Installed-on-Linux
wikinotes

Outils pour utilisateurs

Outils du site

Outils de la page
