红帽 - 接受自签名证书

Question

我有没有办法让Red Hat Linux机箱信任自签名证书？

e.g。 wget https://example.com - 由于“https://example.com”具有自签名证书而导致证书不受信任;使用wget' - no-check-certificate'可以覆盖证书的检查。但我想让Red Hat隐瞒地信任自签名证书 - 有没有办法做到这一点？

感谢。

Answer 1

这本身并不是编码/编程问题，但我认为这个答案在编写软件时可能同样有效，所以无论如何我都会发布它。

默认情况下，在您正在使用的计算机系统或您正在编写的软件中信任自签名证书是一个糟糕的主意。如果你接受所有证书，它将使一个人在中间攻击琐碎。攻击者需要做的就是向您提供自签名证书，并对流量进行解密和重新加密。

通常在这种情况下，您需要创建自己的证书颁发机构，使用它签署证书，并将其添加到/etc/ca-certificates.conf或Red Hat使用的任何内容。

如果您正在编写自己的软件，我还会跟踪给定主机提供的旧证书，以便在发生变化时我会收到警告，因为我怀疑完全信任全局CA是明智的

我会说以下是最佳做法：

1. 对于您自己的服务，或任何需要表明服务由您信任的特定实体提供的服务，请创建CA并将其用于证书。
2. 除此之外，一旦保留安全令牌（SSL证书指纹，SSH / GPG指纹等），建立安全连接，并在发生变化时保持警惕。如果你是偏执狂，首次使用时要确保指纹没问题，方法是从各个地方连接或使用它几天或通过另一个通道（不是很重要，因为第一次连接时MITM的可能性非常低概率 - 但仍然不能忽视）。