En vous basant sur la réponse de dwmw2, vous pouvez en fait dire aux applications qui utilisent le NSS pour sa gestion des certificats d'utiliser le magasin de confiance du système.
libnss3 est livré par défaut avec un ensemble en lecture seule de certificats d'AC racine (libnssckbi.so), donc la plupart du temps vous devez les ajouter manuellement vous-même au magasin de confiance des utilisateurs locaux situé dans $HOME/.pki/nssdb. p11-kit offre un remplacement de libnssckbi.so qui agit comme un adaptateur aux certificats racine du système installés dans /etc/ssl/certs.
Edit:
Il semble y avoir plus de versions de libnssckbi.so que juste dans libnss3. Voici un script pour les trouver toutes, les sauvegarder et les remplacer par des liens vers p11-kit :
sudo apt-get update && sudo apt-get install -y p11-kit libnss3
find / -type f -name "libnssckbi.so" 2>/dev/null | while read line; do
sudo mv $line ${line}.bak
sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so $line
done
Instructions originales:
Pour ce faire, installez p11-kit et libnss3 (s'ils ne sont pas déjà insérés) :
sudo apt-get update && sudo apt-get install -y p11-kit libnss3
Puis sauvegardez les libnssckbi.so existants fournis par libnss3 : Enfin, créez le lien symbolique :
sudo mv /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so.bak
Pour confirmer que cela a fonctionné, vous pouvez exécuter ll /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so et il devrait afficher le lien :
sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so
Maintenant, si vous ajoutez un certificat au CA store en utilisant update-ca-certificates, ces certificats seront désormais disponibles pour les applications utilisant NSS (libnss3) comme Chrome.