Sujet : trust-store
-
Ajouter une autorité de certification privée au magasin de confiance système sur RHEL et dérivés, Debian et Ubuntu
Les distributions Linux des familles RHEL et Debian utilisent des mécanismes distincts pour ajouter un certificat d'AC approuvé localement : update-ca-trust avec des ancres sous /etc/pki/ca-trust, et update-ca-certificates avec des fichiers .crt sous /usr/local/share/ca-certificates. Un mauvais répertoire ou une mauvaise extension laisse l'AC non approuvée, sans aucune erreur.
-
Faire confiance à une autorité de certification privée sous macOS et Windows, et vérifier que le changement est bien effectif
Sous macOS, une AC racine devient approuvée pour tout le système via le trousseau System avec `security add-trusted-cert` ; sous Windows, via le magasin Local Machine Root avec Import-Certificate ou certutil -addstore. Dans les deux cas, le changement reste silencieux tant qu'il n'est pas vérifié séparément, et il diffère d'une approbation limitée à un utilisateur ou à un navigateur.
-
Pourquoi les applications ignorent le magasin de confiance de l'OS : cacerts de Java, certifi de Python, Node.js et curl
Ajouter une autorité de certification (AC) au magasin de confiance du système d'exploitation ne suffit pas pour que toutes les applications lui fassent confiance. Java, de nombreuses installations Python, Node.js et certaines builds de curl peuvent utiliser leur propre bundle d'AC ou leur propre keystore, chacun avec son emplacement et sa variable d'environnement de surcharge ; l'erreur de certificat peut donc persister après la correction au niveau de l'OS.
Lisible par machine : JSON