Implantar a CA interna nos clientes linux

Eu tenho um grande número de estações de trabalho que executam o RedHat Enterprise Linux 5 e 6. Gostaria de implantar nossa nova CA interna (Active Directory) nessas máquinas. Posso importar manualmente o certificado para o Firefox 10 sem problemas, mas não consigo encontrar onde armazenar o arquivo .cer no sistema de arquivos para que ele seja usado pelo FireFox e pelo Google Chrome. Existe um local central para CAs confiáveis usado por esses dois navegadores?

Caso contrário, eu aceitaria uma maneira mais automatizada de fazer com que o FireFox aceite minha CA.

Coisas que eu tentei

Usando o Mozilla fornecido certutil- mas isso parece lidar apenas com certificados do lado do cliente, a menos que eu esteja enganado.
Modificação /etc/pki/tls/ca-bundle.crtincluída no ca-certificatespacote. O Firefox não parece honrar este arquivo.

redhat firefox certificate-authority

— Kyle Smith
fonte

Eu nunca o usei, mas o Firefox vem com uma ferramenta chamada certutil( mozilla.org/projects/security/pki/nss/tools/certutil.html ). Eu acho que isso pode fazer o que você precisa, pelo menos no Firefox.

— Kenny Rasschaert

De um toque inicial, parece que o NSS DB não contém CAs, mas certificados do lado do cliente.

— Kyle Smith #

Para o Firefox: o FF armazena o certificado no perfil do usuário, você precisa importar o certificado para cada perfil em cada caixa. Para CAs confiáveis, o certificado deve estar no formato PEM e importado usando o certutilcomando (disponível no nss-toolspacote no RedHat):

Você pode usar este comando para listar os certificados:

certutil -L -d ~/.mozilla/firefox/[profile]

Em seguida, o certificado pode ser importado usando:

certutil -A -n 'Certificate Name' -t CT,, -d ~/.mozilla/firefox/[profile] < /path/to/certificate.pem

Consulte http://www.dzhang.com/blog/2011/01/29/importing-exporting-firefox-certificates-from-command-line para obter detalhes.

De acordo com o wiki do chromium, você pode usar o certutil para chromium. Não sei se isso também funcionará para o estoque de cromo.

Com um pouco de script, deve ser possível implantar automaticamente sua autoridade de certificação do AD nesse ambiente.

— ercpe
fonte

Obrigado por esta resposta, parece muito promissor. Assim que tiver alguns momentos livres, ficarei feliz em testar e fornecer uma marca de seleção verde brilhante!

— Kyle Smith #

Obrigado por me apontar na direção certa. Parece que os pk12utilcertificados no formato pkcs12 são para autenticação do lado do cliente, mas isso me fez começar a analisar certutilquais podem modificar a confiança da CA. Vou editar a resposta com mais algumas informações, se você estiver curioso.

— Kyle Smith #