Systemweite Installation von CAs in Linux

Unter Linux können CA-Zertifikat fast einheitlich Systemweit installiert werden.

Systemweite Installation von CAs in Debian

Unter Debian (und Derivaten) genügt es die CA-Dateien im PEM-Format aber als *.crt  in /usr/local/share/ca-certificates abzulegen und update-ca-certificates aufzurufen:

cp foobar_CA.pem /usr/local/share/ca-certificates/foobar_CA.crt

# normlerewise genügt dann
update-ca-certificates

# Kontrolle
ls -l /etc/ssl/certs |grep foobar_CA

# bei paranoiden Setups muss man evtl. die vertrauenswürdigen CAs händisch anhaken:
dpkg-reconfigure ca-certificates


# optional: Kontrolle des Java-Keystores
keytool -list -cacerts -storepass changeit | grep -i foobar_CA

Um die Zertifikate aus /usr/share/ca-certificates zusätzlich zu laden, muss --default angegeben werden:

# update with certs from /usr/local/share/ca-certificates and /usr/local/ca-certificates
update-ca-certificates --verbose --default
# clean slate with certs from /usr/local/share/ca-certificates and /usr/local/ca-certificates, logs all certificates.
update-ca-certificates --fresh --verbose --default

Systemweite Installation von CAs in RedHat (ungetestet)

Unter RedHat und Derivaten (CentOS, Scientific Linux, Fedora, vermutlich SuSE, ...) sind CA-Dateien im PEM-Format nach  /etc/pki/ca-trust/source/anchors/ zu kopieren und danach update-ca-trust aufzurufen:

cp foobar_CA.pem /etc/pki/ca-trust/source/anchors/

# normlerewise genügt dann
update-ca-trust

Quelle: https://www.happyassassin.net/2015/01/14/trusting-additional-cas-in-fedora-rhel-centos-dont-append-to-etcpkitlscertsca-bundle-crt-or-etcpkitlscert-pem/