[Debian] Certificat racine auto-signé refusé par openssl - Page 1

Bon, je pensais avoir réglé ce problème mais en fait non. Je voudrais générer mon certificat auto-signé, et l'ajouter en tant que certificat racine sur mon serveur Debian (Jessie), mais impossible de m'en sortir. J'ai commencé par générer mon certificat et sa clé :$ openssl genrsa -out /etc/ssl/private/ca.key 4096 $ openssl req -new -nodes -x509 -days 365 -key /etc/ssl/private/ca.key -out /usr/local/share/ca-certificates/ca.crt -subj "blablabla (un truc valide)" $ openssl rand 10 -hex > /etc/ssl/private/ca.serialEnsuite j'ajoute ce certificat en tant que racine de confiance, avec update-ca-certificates qui me répond ce que j'attends :$ update-ca-certificates Updating certificates in /etc/ssl/certs... 1 added, 0 removed; done. Running hooks in /etc/ca-certificates/update.d....done.Je constate qu'il m'a correctement créé deux liens symboliques /etc/ssl/certs/ca.pem et /etc/ssl/certs/fa3010bf.0 vers mon fichier. Les permissions sont correctes (lecture pour tout le monde) et le deuxième lien correspond bien au hash de mon fichier :$ openssl x509 -noout -hash -in /etc/ssl/certs/ca.pem fa3010bfEnsuite je signe un certificat à l'aide de mon ca.crt tout neuf :$ openssl req -new -nodes -newkey rsa:4096 -subj "blabla (un autre truc valide)" -keyout cert.key -out cert.csr $ openssl x509 -req -days 365 -in cert.csr -CA /etc/ssl/certs/ca.pem -CAkey /etc/ssl/private/ca.key -CAserial /etc/ssl/private/ca.serial -out cert.crtJ'utilise ce certificat dans la configuration SSL de mon serveur SMTP, puis j'essaie ensuite de m'y connecter en TLS (STARTTLS même), mais j'ai quand même une erreur de certificat auto-signé :$ openssl s_client -showcerts -starttls smtp -crlf -connect localhost:587 [...] Verify return code: 19 (self signed certificate in certificate chain)Pourtant si je demande manuellement à OpenSSL d'utiliser mon certificat, je n'ai pas le problème :$ openssl s_client -showcerts -starttls smtp -crlf -connect localhost:587 -CAfile /etc/ssl/certs/ca.pem [...] Verify return code: 0 (ok)J'ai essayé de faire manuellement les étapes update-ca-certificates en créant moi-même les liens symboliques, ça ne fait aucune différence. Tous les tutos que j'ai trouvé mentionnent les étapes que j'ai suivies mais pas une de plus.

Est-ce que vous voyez ce qu'il me manque ?

Perso,
* je mets la racine dans /etc/ssl/certs/My_CA.pem et dans /usr/share/ca-certificates/My_CA.crt
* dans /etc/ca-certificates.conf, il faut la ligne My_CA.crt
* c_rehash /etc/ssl/certs
* update-ca-certificates

A priori update-ca-certificates s'occupe de la partie c_rehash automatiquement et le fichier .conf sert quand on fait un dpkg-reconfigure uniquement, mais je vais essayer. Merci

[edit] Bon en fait il semblerait que ce message soit normal et n'indique pas une erreur (si c'est vrai alors c'est un peu trompeur). Je me suis laissé enduire d'erreur par mon client SMTP qui refusait de fonctionner avec un message peu clair, parce qu'il faisait une vérification du NDD et que j'accédais à mon service via "localhost" donc ça ne collait pas. Du coup je pensais que la cause était le certificat, mais une fois l'autre problème résolu tout est rentré dans l'ordre.

A priori les étapes du message ./1 sont suffisantes pour générer un certificat auto-signé, l'ajouter en tant que certificat racine et l'utiliser pour signer le certificat d'un service ; des fois que ça puisse servir à quelqu'un d'autre