Como configurar en linux root CA certificate in the trust store
Un certificado de la Autoridad de Certificación Raíz (CA) es un certificado digital autofirmado que sirve como la base de la cadena de confianza para la seguridad en línea. Lo emite una Autoridad de Certificación (CA) de alta confianza.
El "almacén de confianza" (trust store) es una base de datos de certificados raíz preinstalada en tu sistema operativo, navegador web o dispositivo móvil. Estos certificados son la "raíz" o "ancla" de confianza. Tu dispositivo confía automáticamente en cualquier certificado que pueda rastrearse hasta uno de estos certificados raíz.
Cómo funciona
Jerarquía de confianza: Una CA raíz usa su certificado para firmar certificados intermedios. A su vez, estos certificados intermedios se utilizan para firmar los certificados de usuario final (los que ves en los sitios web, también conocidos como certificados SSL/TLS).
Verificación: Cuando te conectas a un sitio web seguro (HTTPS), tu navegador recibe el certificado del sitio y una cadena de certificados. El navegador no confía directamente en el certificado del sitio, sino que lo verifica remontando la cadena hasta el certificado intermedio que lo firmó. Luego, verifica ese certificado intermedio remontando la cadena hasta el certificado raíz.
Ancla de confianza: Si el navegador encuentra una coincidencia con un certificado raíz que ya está en su almacén de confianza, considera que el certificado del sitio es legítimo y la conexión es segura. Si la cadena no se puede rastrear hasta un certificado raíz de confianza, el navegador muestra una advertencia de seguridad.
En resumen, los certificados de la CA raíz en el almacén de confianza son la base sobre la que se construye la seguridad del tráfico en Internet, asegurando que los sitios web y otros servicios digitales son quienes dicen ser.
El proceso para agregar un certificado de CA raíz al almacén de confianza de Linux varía ligeramente dependiendo de la distribución que estés usando (por ejemplo, Debian/Ubuntu vs. Red Hat/Fedora). Sin embargo, los pasos generales son muy similares.
📝 Pasos Generales
Obtén el certificado: Asegúrate de tener el certificado de la CA raíz en formato PEM (Privacy Enhanced Mail), que es un archivo de texto que comienza con
-----BEGIN CERTIFICATE-----. Si tu certificado está en formato DER (binario), puedes convertirlo con OpenSSL.openssl x509 -inform der -in certificado.der -out certificado.crt
Copia el certificado al directorio correcto: La ubicación de los certificados de CA confiables es diferente en cada distribución.
Para sistemas basados en Debian/Ubuntu:
Bashsudo cp tu_certificado.crt /usr/local/share/ca-certificates/Para sistemas basados en Red Hat/CentOS/Fedora:
Bashsudo cp tu_certificado.crt /etc/pki/ca-trust/source/anchors/Nota: Asegúrate de que el archivo tenga la extensión
.crtpara que sea reconocido.
Actualiza el almacén de confianza del sistema: Después de copiar el certificado, debes ejecutar un comando que le indique al sistema que actualice su lista de certificados de confianza.
Para sistemas basados en Debian/Ubuntu:
Bashsudo update-ca-certificatesPara sistemas basados en Red Hat/CentOS/Fedora:
Bashsudo update-ca-trust extract
🔍 Ejemplo Práctico (Ubuntu/Debian)
Imagina que tienes un certificado llamado mi_ca_raiz.crt.
Abre una terminal.
Copia el certificado al directorio de confianza del usuario:
Bashsudo cp mi_ca_raiz.crt /usr/local/share/ca-certificates/Ejecuta el comando para actualizar el almacén de certificados:
Bashsudo update-ca-certificates
El comando update-ca-certificates procesará el nuevo archivo y lo agregará al "bundle" de certificados de confianza del sistema, que generalmente se encuentra en /etc/ssl/certs/ca-certificates.crt. Las aplicaciones que confían en este almacén del sistema ahora deberían confiar en tu certificado de CA raíz.
