82459


自己署名したサーバ証明書を使ってサーバを運用しています。  
サーバ証明書をクライアントの「信頼されたルート証明機関」にインポートすることで、クライアントからブラウザ（Chrome）でHTTPSアクセスしたときに、以下のエラーが表示されないようにしたいと考えています。

> この接続ではプライバシーが保護されません  
>  {IPアドレス}では、悪意のあるユーザーによって、パスワード、メッセージ、クレジットカードなどの情報が盗まれる可能性があります。詳細  
>  NET::ERR_CERT_AUTHORITY_INVALID

クライアントがWindowsの場合、サーバ証明書（.crt）をダブルクリックし、証明書ストアとして「信頼されたルート証明機関」を選択してインポートすることでエラーが表示されなくなりました。

しかし、クライアントがCentOS7の場合、以下の手順でインポートしてもエラーのままです。  
１．/etc/pki/ca-trust/source/anchors/ にサーバ証明書（.crt）を置く  
２．sudo update-ca-trust extract を実行

対応方法をご存じでしたら、ご教示いただけませんでしょうか？

なお、sudo trust list で確認すると、該当の証明書のcategoryが「other-
entry」となっており、他の証明書は「authority」となっているのが気になるのですが、「authority」に変更する方法が分かっておりません。

【環境】  
サーバはCentOS7、Webサーバはapache2.4です。  
秘密鍵、自己署名証明書の作成はopensslの以下のコマンドで行っています。

[code]

    sudo openssl genrsa -out mycert.key 2048
    sudo openssl req -new -sha256 -key mycert.key -out mycert.csr
    sudo openssl x509 -req -sha256 -days 3650 -signkey mycert.key -in mycert.csr -out mycert.crt -extfile subjectAltName.txt
    ※subjectAltName.txtには、subjectAltName = IP:{サーバのIPアドレス} が書いてあります。
    
[/code]


CC BY-SA 4.0
2021-09-12T05:55:23.293
82438
2021-09-13T06:35:59.420
48171
question
centos openssl
自己署名サーバ証明書をCentOS7にインストールして、ChromeのHTTPアクセスでエラーが出ないようにしたい


ご希望の回答ではないです

自己認証局が発行した自己署名証明書を他人に使わせる、というか、使ってもいいよと断言することは PKI
システムの根幹を揺るがす論外な行為です。お客様＝クライアントは「オレオレルート証明書はインポートして使うものだ」と @janjan
から教育されたから、他の無関係な＝悪意のあるオレオレルート証明書をインポートした、なんて場合に責任取れますか？

今どきは [Let's Encrypt](https://letsencrypt.org/ja/)
のような無料で使える「信頼された認証局」もありますし、鯖缶の勉強目的以外で自己署名証明書をブラウザにインポートすることはありえません。特にお客様にそういうことを強いるのはセキュリティ教育的に絶対却下です。

ぜひ信頼された認証局から（たとえ有償であっても）正規の証明書を入手して運用してください。自分の身を守るためにも。


CC BY-SA 4.0
2021-09-12T23:46:59.450
82447
2021-09-12T23:46:59.450
8589
82438
answer


> なお、sudo trust list で確認すると、該当の証明書のcategoryが「other-
> entry」となっており、他の証明書は「authority」となっているのが気になるのですが、「authority」に変更する方法が分かっておりません。

自己署名証明書が「CA:FALSE」で作成されているのだと思います。  
以下の手順になると思います。

[code]

    1. 独自 CA 作成
    2. サーバー証明書作成 (Issuer が 1. の独自 CA)
    3. CA の証明書(「CA:TRUE」)を update-ca-trust で登録
    
[/code]


CC BY-SA 4.0
2021-09-13T06:35:59.420
82459
2021-09-13T06:35:59.420
4603
82438
answer