docs/linux_cert_management.md

   1 # Linux Cert Management
   2
   3 **NOTE:** SSL client authentication with personal certificates does not work
   4 completely in Linux, see [issue 16830](https://crbug.com/16830) and
   5 [issue 25241](https://crbug.com/25241).
   6
   7 The easy way to manage certificates is navigate to chrome://settings/search#ssl.
   8 Then click on the "Manage Certificates" button. This will load a built-in
   9 interface for managing certificates.
  10
  11 On Linux, Chromium uses the
  12 [NSS Shared DB](https://wiki.mozilla.org/NSS_Shared_DB_And_LINUX). If the
  13 built-in manager does not work for you then you can configure certificates with
  14 the
  15 [NSS command line tools](http://www.mozilla.org/projects/security/pki/nss/tools/).
  16
  17 ## Details
  18
  19 ### Get the tools
  20
  21 *   Debian/Ubuntu: `sudo apt-get install libnss3-tools`
  22 *   Fedora: `su -c "yum install nss-tools"`
  23 *   Gentoo: `su -c  "echo 'dev-libs/nss utils' >> /etc/portage/package.use &&
  24     emerge dev-libs/nss"` (You need to launch all commands below with the `nss`
  25     prefix, e.g., `nsscertutil`.)
  26 *   Opensuse: `sudo zypper install mozilla-nss-tools`
  27
  28 ### List all certificates
  29
  30     certutil -d sql:$HOME/.pki/nssdb -L
  31
  32 #### Ubuntu Jaunty error
  33
  34 Above (and most commands) gives:
  35
  36     certutil: function failed: security library: invalid arguments.
  37
  38 Package version 3.12.3.1-0ubuntu0.9.04.2
  39
  40 ### List details of a certificate
  41
  42     certutil -d sql:$HOME/.pki/nssdb -L -n <certificate nickname>
  43
  44 ### Add a certificate
  45
  46 ```shell
  47 certutil -d sql:$HOME/.pki/nssdb -A -t <TRUSTARGS> -n <certificate nickname> \
  48 -i <certificate filename>
  49 ```
  50
  51 The TRUSTARGS are three strings of zero or more alphabetic characters, separated
  52 by commas. They define how the certificate should be trusted for SSL, email, and
  53 object signing, and are explained in the
  54 [certutil docs](http://www.mozilla.org/projects/security/pki/nss/tools/certutil.html#1034193)
  55 or
  56 [Meena's blog post on trust flags](https://blogs.oracle.com/meena/entry/notes_about_trust_flags).
  57
  58 For example, to trust a root CA certificate for issuing SSL server certificates,
  59 use
  60
  61 ```shell
  62 certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n <certificate nickname> \
  63 -i <certificate filename>
  64 ```
  65
  66 To import an intermediate CA certificate, use
  67
  68 ```shell
  69 certutil -d sql:$HOME/.pki/nssdb -A -t ",," -n <certificate nickname> \
  70 -i <certificate filename>
  71 ```
  72
  73 Note: to trust a self-signed server certificate, we should use
  74
  75 ```
  76 certutil -d sql:$HOME/.pki/nssdb -A -t "P,," -n <certificate nickname> \
  77 -i <certificate filename>
  78 ```
  79
  80 This should work now, because
  81 [NSS bug 531160](https://bugzilla.mozilla.org/show_bug.cgi?id=531160) is claimed
  82 to be fixed in a related bug report.  If it doesn't work, then to work around
  83 the NSS bug, you have to trust it as a CA using the "C,," trust flags.
  84
  85 #### Add a personal certificate and private key for SSL client authentication
  86
  87 Use the command:
  88
  89     pk12util -d sql:$HOME/.pki/nssdb -i PKCS12_file.p12
  90
  91 to import a personal certificate and private key stored in a PKCS #12 file. The
  92 TRUSTARGS of the personal certificate will be set to "u,u,u".
  93
  94 ### Delete a certificate
  95
  96     certutil -d sql:$HOME/.pki/nssdb -D -n <certificate nickname>