【Linux】ca-certificates-建立互联网上 TLS/SSL 加密连接信任链的基础

ca-certificates 是 Linux 和类 Unix 系统中一个至关重要的软件包，它包含了由可信的证书颁发机构 (Certificate Authorities, CAs) 签发的根证书集合。这些根证书是建立互联网上 TLS/SSL 加密连接信任链的基础。

核心作用：信任的基石

1. 验证服务器身份： 当你访问一个 HTTPS 网站（如 https://www.google.com）时，你的系统需要验证该网站提供的 SSL/TLS 证书是否由受信任的 CA 签发。
2. 验证客户端身份： 当服务器需要验证客户端证书时（例如 VPN 或企业应用），同样依赖这些根证书。
3. 信任链构建： 网站证书通常不是直接由根 CA 签发，而是由中间 CA 签发。系统使用 ca-certificates 中的根证书来验证中间 CA 的合法性，从而构建完整的信任链到最终网站的证书。
4. 安全通信基础： ca-certificates 包确保了系统内置了一个广泛认可的、相对安全的信任锚点集合，是 curl, wget, git, apt/yum/dnf/pacman, openssl 等无数命令行工具和库（如 OpenSSL, GnuTLS）以及许多桌面应用程序能够安全地进行加密通信的前提。

安装

在绝大多数现代 Linux 发行版中，ca-certificates 包通常作为基础系统的一部分已经预装。如果你使用的是最小化安装或者需要手动安装/更新，可以按照以下方法：

基于 Debian/Ubuntu 的系统 (APT)

sudo apt update
sudo apt install ca-certificates

基于 Red Hat/CentOS/Fedora 的系统 (YUM/DNF)

• RHEL/CentOS 7 及更早 (YUM):

  sudo yum install ca-certificates
  

• RHEL/CentOS 8+/Fedora (DNF):

  sudo dnf install ca-certificates
  

基于 Arch Linux 的系统 (Pacman)

sudo pacman -Sy ca-certificates

基于 openSUSE 的系统 (Zypper)

sudo zypper install ca-certificates

使用

ca-certificates 包的主要用途是被系统工具和库自动调用。你通常不会直接与它交互来建立连接。它的作用是提供信任源。

关键的管理命令和文件

1. 更新证书数据库： 安装或更新 ca-certificates 包后，或者你手动添加/移除了证书文件，通常需要运行一个命令来更新系统使用的证书数据库：

   • Debian/Ubuntu/Mint 等:

     sudo update-ca-certificates
     

     • 这个命令会读取 /usr/share/ca-certificates 和 /usr/local/share/ca-certificates 下的证书，将它们链接或复制到 /etc/ssl/certs 目录，并生成一个哈希链接形式的数据库（如 certs.pem 或 /etc/ssl/certs/ca-certificates.crt）。
   • Red Hat/CentOS/Fedora/Rocky/AlmaLinux 等:

     sudo update-ca-trust
     

     • 这个命令会更新 /etc/pki/ca-trust/extracted 下的各种格式的信任存储（PEM, Java 等）。

2. 证书存放位置：

   • 系统默认信任的 CA 证书： 通常位于：
     • /etc/ssl/certs/ (Debian/Ubuntu 等 - 存放实际证书文件或符号链接)
     • /etc/pki/ca-trust/source/anchors/ (Red Hat 等 - 存放用户添加的 PEM 格式证书)
     • /etc/pki/tls/certs/ (Red Hat 等 - 有时存放系统或用户证书)
     • /usr/share/ca-certificates/ (Debian/Ubuntu 等 - 存放证书源文件，按子目录组织)
   • ca-certificates 包提供的证书： 通常安装在 /usr/share/ca-certificates/mozilla/ (Debian/Ubuntu) 或由包管理器管理在 /etc/pki/ca-trust/source/ (Red Hat)。

3. 关键输出文件（被程序使用）：

   • /etc/ssl/certs/ca-certificates.crt (Debian/Ubuntu)：一个包含所有受信任根证书的单一 PEM 格式文件。这是许多工具（如 curl, wget, OpenSSL）默认查找的系统级 CA 包。
   • /etc/pki/tls/certs/ca-bundle.crt (Red Hat)：功能类似，是 Red Hat 系的主要 CA 包文件。
   • /etc/ssl/certs/ 目录下的哈希链接： 程序有时也通过这个目录查找证书。

常见使用场景

1. 日常上网和命令行工具：

   • 当你使用浏览器访问 HTTPS 网站，或者用 curl https://example.com、wget https://example.com、git clone https://github.com/... 等命令时，系统会自动利用 /etc/ssl/certs/ca-certificates.crt (或其等效路径) 中的根证书来验证目标服务器的证书。你不需要做任何额外操作。

2. 添加私有/企业 CA 证书：

   • 如果你的公司或内部服务使用自己的私有 CA 签发的证书，你需要让系统信任这个私有 CA 的根证书。
   • 步骤 (Debian/Ubuntu):
     1. 将私有 CA 的根证书文件（通常是 .pem 或 .crt 格式）复制到 /usr/local/share/ca-certificates/ (推荐) 或 /usr/share/ca-certificates/。
     2. 运行 sudo update-ca-certificates。该命令会将新证书添加到 /etc/ssl/certs/ca-certificates.crt 中，并创建哈希链接。
   • 步骤 (Red Hat/CentOS/Fedora):
     1. 将私有 CA 的根证书文件（.pem 或 .crt 格式）复制到 /etc/pki/ca-trust/source/anchors/。
     2. 运行 sudo update-ca-trust extract。该命令会更新所有信任存储。
   • 完成后，系统工具就会信任由这个私有 CA 签发的证书了。

3. 解决证书验证错误：

   • 如果你在使用命令行工具时遇到类似 SSL certificate problem: unable to get local issuer certificate 或 unable to verify the first certificate 的错误，通常意味着：
     • 目标服务器使用了不在系统默认 CA 包中的证书（可能是自签名或私有 CA 签发）。
     • 或者你的 ca-certificates 包太旧，缺少目标证书链所需的根证书。
   • 解决方案：
     • 更新 ca-certificates 包： sudo apt update && sudo apt install --only-upgrade ca-certificates (Debian/Ubuntu) 或 sudo dnf update ca-certificates (Fedora/RHEL 8+) 然后运行相应的 update-ca-certificates 或 update-ca-trust 命令。
     • 手动添加缺失的根证书： 如果更新后问题依旧，且你确定目标服务器证书有效，你可能需要按照上面的“添加私有/企业 CA 证书”步骤手动添加根证书。
     • (临时绕过 - 不推荐，仅用于测试/诊断)： 某些工具（如 curl）可以加 -k 或 --insecure 参数跳过证书验证（非常不安全！）。wget 可以用 --no-check-certificate。切勿在生产环境或处理敏感数据时使用此方法。

重要提示

• 保持更新： 定期更新 ca-certificates 包非常重要。这不仅能添加新成立的受信任 CA，更重要的是移除被发现不再安全或不合规的根证书。
• 信任的来源： ca-certificates 包的内容通常来源于 Mozilla 的 CA 证书列表，并经过发行版维护者的审核和打包。
• 手动添加需谨慎： 手动添加根证书会扩展系统的信任范围。只添加你明确信任的来源（如你的公司 IT 部门提供的）。添加来源不明的根证书会严重降低系统安全性。
• 与浏览器证书的区别： 浏览器（如 Firefox, Chrome）通常维护自己独立的根证书存储。这就是为什么有时一个 HTTPS 网站在浏览器中显示为安全（信任），但在命令行工具（如 curl）中却报证书错误。命令行工具默认使用系统（ca-certificates）的信任存储。

总结

ca-certificates 是保障 Linux 系统安全通信（HTTPS, TLS）的基础设施包。它提供了一组受信任的根证书，使得系统工具能够验证远程服务器（或客户端）的身份。安装通常很简单（且多数系统已预装），核心管理操作是运行 update-ca-certificates (Debian系) 或 update-ca-trust (Red Hat系) 来更新证书数据库。最常见的用户操作场景是添加企业私有 CA 的根证书以访问内部服务。保持这个包的更新对系统安全至关重要。