Utilización de Certificados de Sistema Compartidos

NITISH SHARMA, Mirek Jahoda, Petr Bokoc Versión F31 and newer Last review: 2020

El almacenamiento de Certificados del Sistema Compartido habilita NSS, GnuTLS, OpenSSL, y Java para compartir una fuente por defecto para obtener anclajes de certificados del sistema e información de lista negra. De forma predeterminada, el almacén de confianza contiene la lista de CA de Mozilla, incluyendo confianzas positivas y negativas. El sistema permite actualizar la lista principal de CA de Mozilla o elegir otra lista de certificados.

Using the System-wide Trust Store

In Fedora, the consolidated system-wide trust store is located in the /etc/pki/ca-trust/ and /usr/share/pki/ca-trust-source/ directories. The trust settings in /usr/share/pki/ca-trust-source/ are processed with lower priority than settings in /etc/pki/ca-trust/.

Certificate files are treated depending on the subdirectory they are installed to the following directories:

  • para anclas confiadas

    • /usr/share/pki/ca-trust-source/anchors/ o

    • /etc/pki/ca-trust/source/anchors/

  • for distrusted certificates

    • /usr/share/pki/ca-trust-source/blocklist/ or

    • /etc/pki/ca-trust/source/blocklist/

  • para certificados en el formato extendido BEGIN TRUSTED

    • /usr/share/pki/ca-trust-source/ or

    • /etc/pki/ca-trust/source/

In a hierarchical cryptographic system, a trust anchor is an authoritative entity which is assumed to be trustworthy. For example, in X.509 architecture, a root certificate is a trust anchor from which a chain of trust is derived. The trust anchor must be put in the possession of the trusting party beforehand to make path validation possible.

Añadir Certificados Nuevos

A menudo, los administradores del sistema desean instalar un certificado en el almacén de confianza. Esto puede hacerse con la sub‐instrucción trust anchor de la instrucción trust, como se describió en Certificados del Sistema de Gestión de Confianza.

Alternativamente, puede simplemente copiar el archivo del certificado en el formato de archivo PEM o DER para el directorio /etc/pki/ca-trust/source/anchors/, seguido por la ejecución de la instrucción update-ca-trust, por ejemplo:

$ sudo cp ~/certificate-trust-examples/Cert-trust-test-ca.pem /etc/pki/ca-trust/source/anchors/
$ sudo update-ca-trust

The update-ca-trust command ensures that the certificate bundles in application-specific formats, such as Java keystore, are regenerated.

Los certificados instalados en los pasos anteriores no se pueden eliminar con el comando trust anchor --remove.

Aunque el navegador Firefox puede utilizar un certificado añadido sin ejecutar update-ca-trust, se recomienda ejecutar update-ca-trust tras un cambio de AC. Tenga en cuenta también que los navegadores, como Firefox, Epiphany o Chromium, almacenan archivos en la caché, por lo que es posible que tenga que borrar la caché del navegador o reiniciarlo para cargar la configuración actual de los certificados del sistema.

Managing Trusted System Certificates

Para listar, extraer, añadir, retirar, o cambiar anclajes de confianza, utilice la instrucción trust. Para ver la ayuda incorporada para esta instrucción, introdúzcala sin ningún argumento o con la directiva de --help:

$ trust
usage: trust command <args>...

Common trust commands are:
  list             List trust or certificates
  extract          Extract certificates and trust
  extract-compat   Extract trust compatibility bundles
  anchor           Add, remove, change trust anchors
  dump             Dump trust objects in internal format

See 'trust <command> --help' for more information

To list all system trust anchors and certificates, use the trust list command:

$ trust list
pkcs11:id=%d2%87%b4%e3%df%37%27%93%55%f6%56%ea%81%e5%36%cc%8c%1e%3f%bd;type=cert
    type: certificate
    label: ACCVRAIZ1
    trust: anchor
    category: authority

pkcs11:id=%a6%b3%e1%2b%2b%49%b6%d7%73%a1%aa%94%f5%01%e7%73%65%4c%ac%50;type=cert
    type: certificate
    label: ACEDICOM Root
    trust: anchor
    category: authority
...
[output has been truncated]

To store a trust anchor into the system-wide trust store, use the trust anchor sub-command and specify a path.to a certificate, for example:

$ sudo trust anchor path.to/certificate.crt

Para retirar un certificado, utilice o bien una ruta.destino un certificado o un ID de un certificado:

$ sudo trust anchor --remove path.to/certificate.crt
$ sudo trust anchor --remove "pkcs11:id=%AA%BB%CC%DD%EE;type=cert"
Más información

All sub-commands of the trust commands offer a detailed built-in help, for example:

$ trust list --help
Modo de empleo: trust list --filter=<lo que sea>

  --filter=<what>     filter of what to export
                        ca-anchors        certificate anchors
                        blacklist         blacklisted certificates
                        trust-policy      anchors and blacklist (default)
                        certificates      all certificates
                        pkcs11:object=xx  a PKCS#11 URI
  --purpose=<usage>   limit to certificates usable for the purpose
                        server-auth       for authenticating servers
                        client-auth       for authenticating clients
                        email             for email protection
                        code-signing      for authenticating signed code
                        1.2.3.4.5...      an arbitrary object id
  -v, --verbose       show verbose debug output
  -q, --quiet         suppress command output

Recursos Adicionales

Para obtener más información, consulte las siguientes páginas del man:

  • update-ca-trust(8)

  • trust(1)

Want to help? Learn how to contribute to Fedora Docs ›