Importieren der CA in Firefox - Versionsgeschichte

Thomas.will am 13. März 2026 um 19:24 Uhr

2026-03-13T19:24:00Z

Thomas.will am 5. Dezember 2022 um 17:21 Uhr

2022-12-05T17:21:11Z

Thomas.will: /* Install */

2022-12-05T16:19:49Z

Install

Thomas.will am 2. November 2022 um 14:06 Uhr

2022-11-02T14:06:18Z

Thomas.will am 2. November 2022 um 14:03 Uhr

2022-11-02T14:03:36Z

Thomas.will: Die Seite wurde neu angelegt: „

 #!/bin/bash  ### (e.g. Firefox, Thunderbird, Chromium) ### Mozilla uses cert8, Chromium and Chrome use cert9  ### ### Requirement: apt install libnss3-t…“

2022-11-02T14:02:54Z

Die Seite wurde neu angelegt: „ <pre> #!/bin/bash ### (e.g. Firefox, Thunderbird, Chromium) ### Mozilla uses cert8, Chromium and Chrome use cert9 ### ### Requirement: apt install libnss3-t…“

Neue Seite

<pre>
#!/bin/bash

### (e.g. Firefox, Thunderbird, Chromium)
### Mozilla uses cert8, Chromium and Chrome use cert9

###
### Requirement: apt install libnss3-tools
###

###
### CA file to install (customize!)
###

certfile="$1"
certname="My Root CA"

###
### For cert8 (legacy - DBM)
###

for certDB in $(find ~/ -name "cert8.db")
do
certdir=$(dirname ${certDB});
certutil -A -n "${certname}" -t "TCu,Cu,Tu" -i ${certfile} -d dbm:${certdir}
done

###
### For cert9 (SQL)
###

for certDB in $(find ~/ -name "cert9.db")
do
certdir=$(dirname ${certDB});
certutil -A -n "${certname}" -t "TCu,Cu,Tu" -i ${certfile} -d sql:${certdir}
done
</pre>

← Nächstältere Version		Version vom 13. März 2026, 19:24 Uhr
Zeile 7:		Zeile 7:
	=Datei=		=Datei=
	[[Datei:Firefox-ca.sh]]		[[Datei:Firefox-ca.sh]]
		+	==Systemweit==
		+	== Firefox Enterprise Policies unter Debian ==
		+
		+	{\| class="wikitable" style="float:right; margin-left:1em;"
		+	\|+ Quick Info
		+	\|-
		+	! Config File
		+	\| /etc/firefox/policies/policies.json
		+	\|-
		+	! Policy Key
		+	\| ImportEnterpriseRoots
		+	\|-
		+	! Status
		+	\| about:policies
		+	\|}
		+
		+	Dieser Artikel beschreibt die korrekte Implementierung von '''Enterprise Policies''' unter Debian GNU/Linux. Ziel ist es, systemweite Root-Zertifikate automatisch in Mozilla Firefox und Thunderbird zu importieren.
		+
		+	=== Problemstellung ===
		+	Standardmäßig ignoriert Firefox den System-Trust-Store von Debian (`/usr/local/share/ca-certificates/`). Manuelle Importe pro Benutzerprofil sind in professionellen Umgebungen nicht skalierbar. Oft meldet der Browser unter ''about:policies'' den Status "Inactive" oder "No policies enabled", obwohl Konfigurationsdateien vorhanden sind.
		+
		+	=== Konfiguration (policies.json) ===
		+
		+	==== Pfadstrategie ====
		+	Unter Debian (insbesondere bei Verwendung von '''firefox-esr''') hat der Pfad in `/etc/` Vorrang vor den Verzeichnissen unter `/usr/`.
		+
		+	* '''Primärer Pfad:''' `/etc/firefox/policies/policies.json`
		+	* '''Alternativer Pfad:''' `/usr/lib/firefox-esr/distribution/policies.json`
		+
		+	==== Quelltext ====
		+	Die JSON-Struktur muss zwingend mit dem "policies"-Objekt beginnen.
		+
		+	<syntaxhighlight lang="json">
		+	{
		+	"policies": {
		+	"Certificates": {
		+	"ImportEnterpriseRoots": true
		+	}
		+	}
		+	}
		+	</syntaxhighlight>
		+
		+	=== Implementierung ===
		+
		+	# '''Verzeichnis erstellen:'''
		+	#: <code>sudo mkdir -p /etc/firefox/policies</code>
		+	# '''Konfiguration schreiben:'''
		+	#: <code>echo '{"policies": {"Certificates": {"ImportEnterpriseRoots": true}}}' \| sudo tee /etc/firefox/policies/policies.json</code>
		+	# '''Berechtigungen anpassen:'''
		+	#: <code>sudo chmod 644 /etc/firefox/policies/policies.json</code>
		+	# '''Prozesse neu starten:'''
		+	#: <code>pkill -9 firefox</code>
		+
		+	=== Validierung ===
		+
		+	* Öffnen der URL '''about:policies''' im Browser.
		+	* Der Status muss '''Active''' (Grün) sein.
		+	* Unter dem Reiter '''Aktiv''' muss die Tabelle den Eintrag <code>ImportEnterpriseRoots : true</code> listen.
		+
		+	=== Fehlerbehebung (Debugging) ===
		+
		+	; Status "Active but no policies enabled" : Firefox findet die Datei, kann das JSON aber nicht parsen.
		+	* Prüfe auf fehlende Klammern oder Anführungszeichen.
		+	* Nutze die Browser-Konsole (<code>Strg</code> + <code>Umschalt</code> + <code>J</code>) für detaillierte Fehlermeldungen der ''EnterprisePolicies''-Engine.
		+
		+	; Status "Inactive" : Der Pfad ist falsch oder die Dateirechte verhindern den Lesezugriff durch den Firefox-Prozess.
		+
		+	; Seite weiterhin "Not Secure" : Wenn die Policy aktiv ist, aber die Seite rot bleibt, liegt ein Fehler im Zertifikat vor:
		+	* '''SAN (Subject Alternative Name):''' Moderne Browser ignorieren den Common Name (CN). Das Feld <code>subjectAltName</code> ist zwingend erforderlich.
		+	* '''CA-Flag:''' Das Root-Zertifikat muss die Extension <code>Basic Constraints: CA:TRUE</code> besitzen.
		+	* '''Laufzeit:''' Zertifikate mit einer Gültigkeit von über 398 Tagen werden von Mozilla oft abgelehnt.
		+
		+	=== Übertragung auf Thunderbird ===
		+	Für Thunderbird kann die identische Datei verwendet werden:
		+	<code>sudo mkdir -p /usr/lib/thunderbird/distribution</code>
		+	<code>sudo cp /etc/firefox/policies/policies.json /usr/lib/thunderbird/distribution/policies.json</code>
		+
		+	[[Kategorie:Administration]]
		+	[[Kategorie:Sicherheit]]
		+	[[Kategorie:Debian]]

@@ Zeile 1: / Zeile 1: @@
 =Install=
 *curl https://xinux.net/images/c/c2/Firefox-ca.sh -o firefox-ca.sh
 *chmod +x firefox-ca.sh

@@ Zeile 2: / Zeile 2: @@
 *curl https://xinux.net/images/c/c2/Firefox-ca.sh -o firefox-ca.sh
 *chmod +x firefox-ca.sh
-*firefox-ca.sh ca.crt
+*./firefox-ca.sh ca.crt
 =Datei=
 [[Datei:Firefox-ca.sh]]

← Nächstältere Version		Version vom 2. November 2022, 14:06 Uhr
Zeile 1:		Zeile 1:
		+	=Install=
		+	*curl https://xinux.net/images/c/c2/Firefox-ca.sh -o firefox-ca.sh
		+	*chmod +x firefox-ca.sh
		+	*firefox-ca.sh ca.crt
		+	=Datei=
	[[Datei:Firefox-ca.sh]]		[[Datei:Firefox-ca.sh]]
−
−
−	~~<pre>~~
−	~~#!/bin/bash~~
−
−	~~### (e.g. Firefox, Thunderbird, Chromium)~~
−	~~### Mozilla uses cert8, Chromium and Chrome use cert9~~
−
−	~~###~~
−	~~### Requirement: apt install libnss3-tools~~
−	~~###~~
−
−
−	~~###~~
−	~~### CA file to install (customize!)~~
−	~~###~~
−
−	~~certfile="$1"~~
−	~~certname="My Root CA"~~
−
−
−	~~###~~
−	~~### For cert8 (legacy - DBM)~~
−	~~###~~
−
−	~~for certDB in $(find ~/ -name "cert8.db")~~
−	do
−	~~certdir=$(dirname ${certDB});~~
−	~~certutil -A -n "${certname}" -t "TCu,Cu,Tu" -i ${certfile} -d dbm:${certdir}~~
−	~~done~~
−
−
−	~~###~~
−	~~### For cert9 (SQL)~~
−	~~###~~
−
−	~~for certDB in $(find ~/ -name "cert9.db")~~
−	do
−	~~certdir=$(dirname ${certDB});~~
−	~~certutil -A -n "${certname}" -t "TCu,Cu,Tu" -i ${certfile} -d sql:${certdir}~~
−	~~done~~
−	~~</pre>~~

← Nächstältere Version		Version vom 2. November 2022, 14:03 Uhr
Zeile 1:		Zeile 1:
		+	[[Datei:Firefox-ca.sh]]
		+

	<pre>		<pre>