Com base na resposta da dwmw2, pode efectivamente dizer às aplicações que utilizam o NSS para a sua gestão de certificados para utilizar a loja de confiança do sistema.
libnss3 por omissão envia com um conjunto de certificados CA de raiz apenas leitura (libnssckbi.so), por isso a maior parte do tempo é necessário adicioná-los manualmente à loja de confiança do utilizador local localizada em $HOME/.pki/nssdb. O p11-kit oferece um substituto para o libnssckbi.so que funciona como um adaptador para os certificados raiz de todo o sistema instalados no /etc/ssl/certs.
Edit:
Parece haver mais versões do libnssckbi.so lá fora do que apenas no libnss3. O seguinte é um script para os encontrar, fazer cópias de segurança e substituí-los por links para p11-kit:
sudo apt-get update && sudo apt-get install -y p11-kit libnss3
find / -type f -name "libnssckbi.so" 2>/dev/null | while read line; do
sudo mv $line ${line}.bak
sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so $line
done
Original instructions:
Para tal, instale os p11-kit e libnss3 (se ainda não tiverem sido instalados):
sudo apt-get update && sudo apt-get install -y p11-kit libnss3
Depois faça cópias de segurança dos libnssckbi.so existentes fornecidos por libnss3:
sudo mv /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so.bak
Finalmente, crie a ligação simbólica:
sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so
Para confirmar que funcionou, pode executar o ll /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so e este deve mostrar a ligação:
lrwxrwxrwx 1 root root 49 Apr 9 20:28 /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so -> /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so
Agora, se adicionar um certificado à loja CA utilizando o update-ca-certificates, esses certificados estarão agora disponíveis para aplicações que utilizem NSS (libnss3) como o Chrome.