Хотел добавить центр сертификации свой.. выбираю сертификат - а мне сначала три чекбокса когда доверять и потом - "Неизвестная ошибка".. в логе
[9968:9968:1214/104929.358431:ERROR:nsNSSCertificateDB.cpp(89)] PK11_ImportCert failed with error -8168
[9968:9968:1214/105159.838689:ERROR:nsNSSCertificateDB.cpp(89)] PK11_ImportCert failed with error -8168

не работает?

"Выбираю сертификат" где?

Если вы работаете в экосистеме КриптоПро CSP, то все действия необходимо делать пользуясь функционалом КриптоПро CSP.

Браузер это не КриптоПро CSP.

Посмотреть список сертификатов корневых УЦ пользователя: /opt/cprocsp/bin/amd64/certmgr -list -store uroot
Установить корневой сертификат УЦ в хранилище сертификатов пользователя: /opt/cprocsp/bin/amd64/certmgr -inst -store uroot -file /path/to/cert

С большой вероятностью, цепочка до корневых не может построиться, возможно стоит промежуточные сертификаты добавить в цепочку сервера, чтобы он их пользователям отправлял в рамках TLS.

Лучше, конечно, тестировать TLS с помощью csptestf -tlsc, а потом уже в браузере.

Проблема скорее на клиенте.

Просто в ряде случаев проблемы на клиенте с построением цепочки могут быть из-за конфликта сертификатов УЦ. Например, есть другой действительный сертификат этого же удостоверяющего центра и издатель в конечном сертификате в точности совпадает с полем субъект в сертификате этого УЦ, но значение идентификатора ключа УЦ отличается. Пусть при этом верного сертификата УЦ у клиента не установлено. В этом случае при построении цепочки некоторыми программами может быть проигнорировано отличие идентификатора ключа и построена неверная цепочка к совсем другому корневому сертификату. На человеческий взгляд это практически неотличимо пока не сравните идентификаторы ключей. Далее цифровая подпись конечного сертификата будет считаться неверной при проверке ключом УЦ из другого сертификата УЦ и конечный сертификат будет считаться поврежденным. Это очень актуальная проблема если Вы несколько лет пользуетесь сертификатами одного и того же УЦ и у клиентов множество "прошлогодних" сертификатов этого УЦ (выдаются они дольше чем на 1 год и еще действуют), но нет "свежего" сертификата.

Указание всех промежуточных сертификатом самим сервером значительно ослабляет проблему построения неверной цепочки для сертификата сервера. Обратите внимание, что для наилучшего эффекта промежуточные сертификаты не просто должны передаваться сервером по отдельности, а должны быть расположены по порядку и уже связаны в цепочку. Полностью проблема не снимается, так как корневой сертификат должен быть установлен у клиента и в связи промежуточного сертификата с корневым также возможна аналогичная ошибка, но в целом указание промежуточных сертификатов сервером стабилизирует построение цепочек клиентами.

Отредактировано пользователем 18 декабря 2018 г. 7:24:20(UTC)  | Причина: Не указана