Basándose en la respuesta de dwmw2, puedes decir a las aplicaciones que usan NSS para su gestión de certificados que usen el almacén de confianza del sistema.
libnss3 por defecto se envía con un conjunto de certificados CA raíz de sólo lectura (libnssckbi.so), por lo que la mayoría de las veces necesitas añadirlos manualmente tú mismo al almacén de confianza del usuario local situado en $HOME/.pki/nssdb. p11-kit ofrece un sustituto de libnssckbi.so que actúa como un adaptador para los certificados raíz de todo el sistema instalados en /etc/ssl/certs.
Editar:
Parece que hay más versiones de libnssckbi.so por ahí que sólo en libnss3. Lo siguiente es un script para encontrarlas todas, hacer una copia de seguridad y reemplazarlas con enlaces a p11-kit:
sudo apt-get update && sudo apt-get install -y p11-kit libnss3
find / -type f -name "libnssckbi.so" 2>/dev/null | while read line; do
sudo mv $line ${line}.bak
sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so $line
done
Instrucciones originales:
Para ello, instalar p11-kit y libnss3 (si no están ya instalados):
sudo apt-get update && sudo apt-get install -y p11-kit libnss3
Luego hacer una copia de seguridad del libnssckbi.so existente proporcionado por libnss3:
sudo mv /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so.bak
Finalmente, cree el enlace simbólico:
sudo ln -s /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so
Para confirmar que funcionó, puede ejecutar ll /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so y debería mostrar el enlace:
lrwxrwxrwx 1 root root 49 Apr 9 20:28 /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so -> /usr/lib/x86_64-linux-gnu/pkcs11/p11-kit-trust.so
Ahora, si añade un certificado al almacén de CA usando update-ca-certificates, esos certificados estarán ahora disponibles para aplicaciones que usen NSS (libnss3) como Chrome.