make-ca-1.13

Configuration de make-ca

Pour la plupart des utilisateurs, aucune configuration supplémentaire n'est nécessaire, cependant le fichier certdata.txt par défaut fournit par make-ca est obtenu à partir de la branche mozilla-release, et est modifié pour fournir une révision Mercurial. Ce sera la bonne version pour la plupart des systèmes. Il y a plusieurs variantes du fichier disponibles à l'utilisation que vous pourriez préférer pour une raison ou une autre, incluses dans les produits Mozilla dans ce livre. RedHat et OpenSUSE par exemple utilisent la version incluse dans nss-3.98. Des emplacements de téléchargement supplémentaires sont disponibles dans les liens inclus dans /etc/make-ca/make-ca.conf.dist. Copiez simplement ce fichier vers /etc/make-ca.conf et modifiez-le comme vous le voulez.

À propos des arguments sur la confiance

Il y a trois types de confiances reconnues par le script make-ca, SSL/TLS, S/Mime et signature de code. Pour OpenSSL, il s'agit de serverAuth, emailProtection et codeSigning respectivement. Si un argument trust en omis, le certificat n'est ni reconnu ni rejeté pour ce rôle. Les clients qui utilisent OpenSSL ou NSS rencontrant ce certificat renverront un avertissement à l'utilisateur. Les clients qui utilisent GnuTLS sans le support de p11-kit ne sont pas conscient des certificats de confiance. Pour inclure cette CA dans les fichiers ca-bundle.crt, email-ca-bundle.crt ou objsign-ca-bundle.crt (les anciens lots de GnuTLS), il doit avoir l'argument de confiance approprié.

Ajouter des certificats de CA supplémentaires

Le répertoire /etc/ssl/local permet d'ajouter des certificats d'autorités supplémentaires à la banque de confiance du système. Ce répertoire est aussi utilisé pour stocker des certificats qui ont été ajoutés ou modifiés dans la banque de confiance du système par p11-kit-0.25.3 pour que les valeurs de confiance soient maintenues entre les mises à jour. Les fichiers de ce répertoire doivent être au format des certificats de confiance d'OpenSSL. Les certificats importés avec l'utilitaire trust de p11-kit-0.25.3 utiliseront les valeurs d'utilisation étendue x509 pour assigner une valeur de confiance par défaut aux ancres du système.

Si vous avez besoin de remplacer les valeurs de confiance ou que vous devez créer un certificat OpenSSL de confiance manuellement à partir d'un fichier encodé en PEM, vous devrez ajouter des arguments « trust » à la commande openssl et créer un nouveau certificat. Par exemple, si vous souhaitez utiliser les racines CAcert pour que les deux soient de confiance pour ces trois rôles, les commandes suivantes créeront des certificats de confiance OpenSSL approprié (à lancer en tant qu'utilisateur root après l'installation de Wget-1.21.4) :

wget http://www.cacert.org/certs/root.crt &&
wget http://www.cacert.org/certs/class3.crt &&
openssl x509 -in root.crt -text -fingerprint -setalias "CAcert Class 1 root" \
        -addtrust serverAuth -addtrust emailProtection -addtrust codeSigning \
        > /etc/ssl/local/CAcert_Class_1_root.pem &&
openssl x509 -in class3.crt -text -fingerprint -setalias "CAcert Class 3 root" \
        -addtrust serverAuth -addtrust emailProtection -addtrust codeSigning \
        > /etc/ssl/local/CAcert_Class_3_root.pem &&
/usr/sbin/make-ca -r

Remplacer la confiance de Mozilla

Parfois, il peut arriver que vous ne soyez pas d'accord avec l'inclusion d'une autorité de certification particulière. Si vous voulez remplacer la confiance par défaut d'une CA particulière, créez simplement une copie du certificat existant dans /etc/ssl/local avec des arguments de confiances différents. Par exemple, si vous ne voulez pas faire confiance au fichier « Makebelieve_CA_Root », lancez les commandes suivantes :

openssl x509 -in /etc/ssl/certs/Makebelieve_CA_Root.pem \
             -text \
             -fingerprint \
             -setalias "Disabled Makebelieve CA Root" \
             -addreject serverAuth \
             -addreject emailProtection \
             -addreject codeSigning \
       > /etc/ssl/local/Disabled_Makebelieve_CA_Root.pem &&
/usr/sbin/make-ca -r

Utiliser make-ca avec Python3

Lorsque Python3 a été installé dans LFS, il contenait le module pip3 avec les certificats inclus du module Certifi. C'était nécessaire, mais cela signifie que lorsque vous utilisez pip3, il peut utiliser ces certificats surtout lors de la création d'environnements virtuels ou à l'installation d'un module avec toutes ses dépendances wheels en une seule fois.

On considère en général que l'administrateur système est en charge des certificats disponibles. Maintenant que make-ca-1.13 et p11-kit-0.25.3 sont installés et que make-ca est configuré, il est possible de faire utiliser les certificats systèmes à pip3.

Les certificats embarqués installés dans LFS sont une image du moment où la version de Certifi a été créée. Si vous mettez souvent à jour les certificats du système, les certificats embarqués seront périmés.

Pour utiliser les certificats du système dans Python3 vous devriez configurer la variable _PIP_STANDALONE_CERT pour y pointer, p. ex. pour le shell bash :

export _PIP_STANDALONE_CERT=/etc/pki/tls/certs/ca-bundle.crt

Avertissement

Si vous avez créé des environnements virtuels, par exemple pour tester des modules, et qu'ils incluent le module Requests ou Certifi dans ~/.local/lib/python3.11/ , alors ces modules locaux seront utilisés au lieu des certificats systèmes à moins que vous supprimiez les modules locaux.

Pour utiliser les certificats systèmes dans Python3 avec les profils BLFS, ajoutez la variable suivante à vos profils systèmes ou personnels :

mkdir -pv /etc/profile.d &&
cat > /etc/profile.d/pythoncerts.sh << "EOF"
# Begin /etc/profile.d/pythoncerts.sh

export _PIP_STANDALONE_CERT=/etc/pki/tls/certs/ca-bundle.crt

# End /etc/profile.d/pythoncerts.sh
EOF