Para complicar las cosas, Linux tiene más de una biblioteca para trabajar con certificados.
Si está utilizando el NSS de Mozilla, puede desconfiar activamente (su terminología) de un certificado utilizando la opción de certutil-t trustargs :
$ certutil -d <path to directory containing database> -M -t p -n "Blue Coat Public Services Intermediate CA"
Para Firefox, <path to directory containing database>generalmente es ~/.mozilla/firefox/<???>.profiledonde <???>hay algunos personajes de aspecto aleatorio. (certutil está, por ejemplo, en el paquete libnss3-tools de ubuntu)
El desglose es el siguiente:
-M para modificar la base de datos
-t p para establecer la confianza a Prohibido
-n para llevar a cabo la operación en el certificado nombrado
Incluso dentro de NSS, no todas las aplicaciones comparten la misma base de datos; entonces puede que tenga que repetir este proceso. Por ejemplo, para hacer lo mismo con Chrome, cambie -d <path>a -d sql:.pki/nssdb/.
$ certutil -d sql:.pki/nssdb/ -M -t p -n "Blue Coat Public Services Intermediate CA"
Sin embargo, no todas las aplicaciones usan NSS, por lo que esta no es una solución completa. Por ejemplo, no creo que sea posible hacer esto con la biblioteca OpenSSL.
Como consecuencia, cualquier aplicación que use OpenSSL para proporcionar la construcción de su cadena de certificados (TLS, IPSec, etc.) confiaría en una cadena con un certificado Blue Coat y no hay nada que pueda hacer al respecto, salvo eliminar la CA raíz que lo firmó su tienda de anclaje de confianza (lo cual sería una tontería teniendo en cuenta que es una Symantec Root CA ya que terminaría desconfiando de la mitad de Internet), mientras que las aplicaciones que dependen de NSS se pueden configurar de manera más granular para desconfiar de cualquier cadena que tenga el certificado Blue Coat dentro de ella .
Por ejemplo, creo que OpenVPN usa OpenSSL como su biblioteca para certificados, por lo tanto, hermano mayor podría estar escuchando su tráfico de OpenVPN sin su conocimiento si se está conectando a un proveedor de VPN comercial que usa OpenVPN. Si está realmente preocupado por eso, compruebe quién es la CA raíz de su proveedor de VPN comercial: si es Symantec / Verisign, ¿tal vez sea hora de deshacerse de ellos por otra persona?
Tenga en cuenta que SSH no usa certificados X509, por lo tanto, puede conectarse y hacer un túnel usando SSH sin preocuparse por los ataques Blue Coat MITM.