Tema: certificates
-
Erros de verificação TLS em diferentes ferramentas: unknown authority, CERTIFICATE_VERIFY_FAILED, self-signed na cadeia
Diferentes clientes TLS relatam a mesma falha de fundo, uma cadeia de certificados incompleta ou não confiável, cada um com suas palavras: 'certificate signed by unknown authority', 'CERTIFICATE_VERIFY_FAILED', 'unable to get local issuer certificate', 'self-signed certificate in certificate chain'. O artigo mostra como diagnosticar a cadeia real com openssl s_client antes de aplicar qualquer correção e por que -k ou verify=False nunca é uma delas.
-
Converter certificados entre PEM, DER e PKCS#12 com openssl para trust stores e keystores multiplataforma
Trust stores e keystores esperam formatos de contêiner diferentes: os diretórios de âncoras do RHEL/Debian querem arquivos .crt em PEM, e as ferramentas Windows e Java costumam fornecer ou exigir PKCS#12 (.pfx/.p12) ou DER (.cer). Os comandos openssl pkcs12 e openssl x509 convertem entre eles e separam a chave.
-
Gerenciar certificados pelo PowerShell: a unidade Cert:, importação/exportação de PFX e associação a um site no IIS
Como navegar em Cert:\LocalMachine\My, filtrar por validade com Get-ChildItem, mover um certificado com a chave privada via Import-PfxCertificate/Export-PfxCertificate, usar New-SelfSignedCertificate apenas em testes e associar o resultado no IIS com New-WebBinding ou conferi-lo com netsh http show sslcert.
-
Como adicionar uma CA privada ao repositório de confiança do sistema na família RHEL e no Debian/Ubuntu
As famílias RHEL e Debian de Linux usam mecanismos distintos para adicionar um certificado de CA de confiança local: update-ca-trust com âncoras em /etc/pki/ca-trust, e update-ca-certificates com arquivos .crt em /usr/local/share/ca-certificates. Usar o diretório ou a extensão errada deixa a CA sem confiança, sem nenhum aviso.
-
Confiar em uma CA privada no macOS e no Windows e verificar se a mudança realmente surtiu efeito
No macOS, uma CA raiz passa a ser confiável em todo o sistema pelo keychain System, com `security add-trusted-cert`; no Windows, pelo repositório Local Machine Root, com Import-Certificate ou certutil -addstore. As duas alterações são silenciosas, a menos que sejam verificadas à parte, e ambas diferem de uma decisão de confiança por usuário ou por navegador.
-
Por que as aplicações ignoram o repositório de confiança do SO: Java cacerts, Python certifi, Node.js e curl
Adicionar uma CA ao repositório de confiança do sistema operacional não faz todas as aplicações passarem a confiar nela. Java, muitas instalações de Python, Node.js e builds do curl podem ter seu próprio bundle de CAs ou keystore, cada um com localização de arquivo e variável de ambiente próprias, então um erro de certificado pode persistir após a correção no nível do SO.
Legível por máquina: JSON