Download ICP-Brasil certificates and make a bundle

make-icpbrasil-bundle.sh

#!/bin/bash

HTTPADDR=http://acraiz.icpbrasil.gov.br/credenciadas/CertificadosAC-ICP-Brasil/ACcompactado.zip
DEST=/etc/ssl/certs/icp-brasil

mkdir -p ${DEST}
cd ${DEST}
rm -f *.crt
rm -f *.zip

wget "$HTTPADDR"

unzip *.zip

for fn in $(file *.crt|grep data|sed 's/: *data//')
do
  mv $fn  $fn.der
  openssl x509 -inform der -in $fn.der -out $fn
done
#rm *.der

for f in $(ls *.crt); do
  dos2unix $f > /dev/null
  openssl x509 -text -in $f >> bundle.crt
done

#Ref: http://blog.gendoc.com.br/2012/03/instalando-os-certificados-ac-do-icp-brasil-para-e-cpf-e-e-cnpj/
#Ref: http://www.iti.gov.br/icp-brasil/certificados/188-atualizacao/4530-ac-raiz

site.conf

<VirtualHost *:443>
(...)
    SSLCACertificateFile /etc/ssl/certs/icp-brasil/bundle.crt
(...)
</VirtualHost>

Pelo que analisei o problema do arquivo bundle ter ficado muito grande foi devido ao comando openssl x509 -text -in $f >> bundle.crt, este comando esta listando todos os dados do certificado.
Entendo que não é necessário o passo anterior a concatenação, onde tem um loop for para DER.
Embora os arquivos tenham a extensão .crt, o formato dos certificados são PEM.
O ideal é ter um script fazendo a concatenação de todos os certificados .crt.
Sugestão: for f in $(ls *.crt); do dos2unix $f -q && cat $f >> /tmp/bundleicpbrasil.crt ; done