Диагностика российских сертификатов и системного доверия¶

При ошибке сертификата определите, что именно не проходит проверку: доверие к корню, цепочка выдачи, срок действия, имя узла, назначение ключа, доступность алгоритма или статус отзыва.

Проверка без изменения системы¶

rpm -q ca-certificates-russian-ca p11-kit-trust
ls -lah /etc/ssl/local/ 2>/dev/null
trust list --filter=ca-anchors | head -n 80
openssl version -a
openssl list -providers

Диагностика конкретного сертификата¶

openssl x509 -in server.pem -noout \
  -subject -issuer -dates -ext subjectAltName \
  -ext keyUsage -ext extendedKeyUsage

openssl verify -CAfile root.pem \
  -untrusted intermediate.pem server.pem

Если сервер предъявляет неверное имя, исправление цепочки доверия не поможет. Аналогично, импорт корневого сертификата не добавляет криптографический алгоритм, отсутствующий в TLS-библиотеке приложения.

Отзыв: CRL и OCSP¶

CRL — подписанный издателем список отозванных сертификатов. OCSP — протокол ответа о статусе отдельного сертификата. Оба механизма требуют доверия к подписанному ответу и проверки времени его действия.

openssl x509 -in server.pem -noout -text |
  grep -A 8 -E 'CRL Distribution Points|Authority Information Access'

openssl crl -in revoked.pem -noout -text

Для CRL сначала скачайте файл из адреса, реально указанного в сертификате, и проверьте его подлинность. Команда выше ожидает PEM-формат: если файл DER, используйте -inform DER.

NSS без ГОСТ¶

NSS в НАЙС.ОС не предоставляет ГОСТ-криптографию. Приложение, использующее NSS, может видеть часть общесистемных доверенных объектов через p11-kit, но это не добавляет в него алгоритмы ГОСТ. Для ГОСТ-TLS выбирайте приложения с реально совместимой криптографической реализацией и подтверждайте согласованный TLS-профиль тестовым соединением.