L'installation d'un certificat auto-signé est un succès, mais Android agit comme si le certificat n'existait pas.

J'ai eu le même problème pour qu'Android installe vraiment le certificat, jusqu'à ce que je trouve ce site qui décrit une méthode qui a fonctionné pour moi. Elle se résume aux étapes suivantes :

1. Créez une clé privée et un certificat public x509 avec les extensions v3_req et activé en tant que CA :

   sudo openssl req -x509 -nodes -days 365 -newkey rsa:4096 -keyout /etc/ssl/private/my_site.key -out /etc/ssl/certs/my_site.crt -reqexts v3_req -extensions v3_ca

2. Convertissez le certificat au format DER, qui est compris par Android :

   sudo openssl x509 -in /etc/ssl/certs/my_site.crt -outform der -out my_site.der.crt

3. Utilisez n'importe quelle méthode pour obtenir le my_site.der.crt sur votre appareil Android - j'ai trouvé facile de faire héberger le fichier par mon serveur web et de le télécharger via le navigateur Android, qui vous permet ensuite de l'installer automatiquement.

Bien que j'aurais aimé que l'étape 1 soit divisée en deux (1a. génération de la clé privée et 1b. génération du certificat public), je n'ai pas investi trop de temps à chercher comment faire cela. S'il vous plaît laissez-moi savoir dans un commentaire si vous avez trouvé un moyen qui fonctionne, merci.

(Plutôt que d'ajouter un commentaire, j'ai l'impression que cela doit faire partie de la réponse pour référence future, donc je l'édite. --Michael)

Au lieu de créer un certificat activé en tant qu'AC, j'ai créé une AC auto-signée, puis j'ai re-signé ma clé/csr existante avec la nouvelle AC. J'ai ensuite ajouté l'AC auto-signée à Android et voilà ! Cela a fonctionné !

Génération de l'AC auto-signée :

openssl genrsa -out rootCA.key 4096
openssl req -x509 -new -nodes -key rootCA.key -days 3650 -out rootCA.pem

Re-signature d'une RSC existante que j'avais depuis la création de la clé à partir de l'interface de l'entreprise.

openssl x509 -req -in existing.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out existing.crt -days 3649

Maintenant, en utilisant une forme modifiée de votre deuxième commande, j'ai converti le certificat CA en format DER :

openssl x509 -in /etc/apache2/ssl/rootCA.pem -outform der -out ~/rootCA.der.crt

Ce qui est génial, c'est que tous les autres certificats non fiables qui sont maintenant re-signés avec la nouvelle autorité de certification auto-signée seront maintenant fiables sur n'importe quel appareil qui a la nouvelle autorité de certification installée sans avoir besoin d'installer autre chose. Cela ne résout pas exactement le problème de la confiance accordée aux sites sur lesquels vous n'avez aucun contrôle, mais cela peut faciliter les choses si vous avez une quelconque influence sur (disons) votre service informatique pour un serveur interne ou autre.