Собственный удостоверяющий центр в системе доверия¶

Корпоративный УЦ применяют для внутренних серверов, взаимной аутентификации клиентов, корпоративных VPN и инфраструктуры электронной подписи. Доверять следует сертификату открытого ключа УЦ, а не серверному сертификату как универсальному корневому сертификату.

Подготовка¶

Получите сертификат УЦ по проверенному каналу распространения.
Сверьте SHA-256-отпечаток с владельцем УЦ независимо от канала передачи.
Проверьте свойства сертификата: CA:TRUE, назначение, срок действия, алгоритм и издателя.
Убедитесь, что политика вашей организации допускает этот корень как доверенный.

openssl x509 -in corporate-root.pem -noout \
  -subject -issuer -dates -fingerprint -sha256 -text

Никогда не используйте внешне полученный закрытый ключ УЦ в качестве файла доверия: нужен только публичный сертификат.

Подключение доверия¶

sudo trust anchor corporate-root.pem
sudo update-ca-trust
trust list --filter=ca-anchors

Пути хранилища зависят от настроек p11-kit, а утилита trust сама управляет добавлением доверенных объектов. Не подменяйте вручную системные сформированные bundle-файлы: изменения могут потеряться при обновлении.

Проверка цепочки¶

openssl verify -CAfile corporate-root.pem \
  -untrusted issuing-ca.pem server.pem

Команда проверяет цепочку до явно названного корня; она не выполняет полноценную проверку назначения имени HTTPS-сервера. Для TLS отдельно проверяйте SAN, EKU и живое соединение.

Удаление доверия¶

sudo trust anchor --remove corporate-root.pem
sudo update-ca-trust

После удаления проверьте, что службы, полагающиеся на прежний УЦ, перезагрузили свои trust store либо были корректно перезапущены по регламенту.

Для создания ключей и сертификатов используйте раздел OpenSSL; здесь рассматривается именно доверие операционной системы.