Utilia
Kategorie ▾
Jazyk: cs ▾

Dekodér certifikátů X.509

Dekóduj certifikát SSL/TLS, řetězec nebo CSR ve svém prohlížeči. Zobraz subjekt, vydavatele, datum vypršení, SAN, použití klíče, veřejný klíč a otisk SHA-256.

Certifikáty se dekódují ve tvém prohlížeči. Nic se nenahrává, takže interní certifikáty a CSR zůstávají v tvém počítači.

Tento nástroj certifikát čte, ale neověřuje jeho podpis ani řetězec důvěry: dekódovaný certifikát není důkazem, že je pravý.

Jak dekódovat certifikát

  1. Vlož certifikát do pole Certifikát, řetězec nebo CSR (PEM nebo Base64), nebo přetáhni soubor na oblast pro přetažení. Přijímá se text PEM (-----BEGIN CERTIFICATE-----), binární DER (.der, .cer), žádost o podepsání certifikátu (.csr) i balíček PKCS#7 (.p7b).
  2. Klikni na Dekódovat. Vložený blok PEM se dekóduje také hned, jakmile je dokončen jeho řádek -----END …-----. Načíst příklad ukáže testovací certifikát.
  3. Každý certifikát nebo CSR dostane vlastní tabulku. Odznak ukazuje Platná data, Vypršel nebo Zatím neplatný a Kopírovat PEM ho zkopíruje zpět jako PEM (hodí se po otevření binárního souboru DER).
  4. U řetězce (certifikát serveru následovaný zprostředkujícími certifikáty) se dekóduje každý blok v pořadí a nástroj uvede Vydal certifikát n, když vydavatel certifikátu odpovídá subjektu jiného certifikátu v seznamu.

Co jednotlivá pole znamenají

  • Subjekt a Vydavatel jsou rozlišující jména: CN (běžné jméno), O (organizace), OU, L (město), ST (stát nebo provincie), C (země). Certifikát, jehož vydavatel se rovná subjektu, je označen jako Samopodepsaný.
  • Platný od a Platný do jsou data notBefore a notAfter, zobrazená ve tvém časovém pásmu, s počtem zbývajících dní. Od roku 2020 prohlížeče odmítají veřejné certifikáty TLS s platností delší než 398 dní a CA/Browser Forum tento limit dále zkracuje.
  • Sériové číslo se zobrazuje šestnáctkově (jako v prohlížečích a OpenSSL) i desítkově.
  • Algoritmus podpisu a Veřejný klíč: u RSA velikost modulu (2048, 3072, 4096 bitů) a veřejný exponent (téměř vždy 65537); u eliptických křivek křivka (P-256, P-384…); rozpozná se i Ed25519.
  • Rozšíření: Subject Alternative Name (názvy hostitelů, adresy IP a e-mailové adresy, které certifikát pokrývá; prohlížeče CN ignorují a používají jen SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE pro autoritu), identifikátory klíče subjektu a autority, CRL Distribution Points, Authority Information Access (respondér OCSP a URL vydavatele CA) a Certificate Policies (DV, OV, EV). Rozšíření označená jako kritické musí pochopit každý software, který certifikát používá.
  • Otisk SHA-1 a Otisk SHA-256 jsou hashe celého certifikátu DER vypočítané pomocí Web Crypto API prohlížeče; odpovídají openssl x509 -fingerprint. Pin veřejného klíče je SHA-256 informací o veřejném klíči v Base64, formát používaný pro připínání certifikátů (certificate pinning).

Dekódování není ověření

Tento nástroj je čistý parser ASN.1/DER. Nekontroluje podpis, nesestavuje řetězec důvěry ke kořenové autoritě a nedotazuje se na seznamy odvolaných certifikátů ani OCSP, protože by to vyžadovalo přístup k síti. Používej ho k prohlédnutí certifikátu, zjištění, proč nesouhlasí název hostitele nebo kdy certifikát vyprší, nikoli k rozhodnutí, zda mu lze věřit. Soukromé klíče se odmítají záměrně: pokud vložíš blok PRIVATE KEY, nedekóduje se a pokud byl někdy sdílen, považuj ho za prozrazený.

Časté dotazy

Jak získám certifikát webu?

Ve většině prohlížečů klikni na zámek, otevři prohlížeč certifikátů a exportuj ho jako PEM. V příkazovém řádku vypíše openssl s_client -connect example.com:443 -showcerts celý řetězec; bloky sem vlož.

V čem se liší PEM a DER?

DER je binární kódování certifikátu. PEM jsou stejné bajty v Base64 mezi řádky BEGIN a END, což se snáze kopíruje a vkládá. Nástroj čte obojí a dekóduje stejný obsah.

Co je CSR?

Žádost o podepsání certifikátu je to, co posíláš certifikační autoritě: obsahuje požadovaný subjekt, veřejný klíč a často požadovaná SAN. Zatím nemá vydavatele, platnost ani sériové číslo; ty doplní autorita.

Proč prohlížeč hlásí neplatný certifikát, i když jsou data v pořádku?

Data jsou jen jedna z kontrol. Název hostitele se musí objevit v Subject Alternative Name, řetězec musí vést k důvěryhodné kořenové autoritě (častou příčinou je chybějící zprostředkující certifikát), použití klíče musí povolovat TLS a certifikát nesmí být odvolán.

Je bezpečné vložit sem certifikát?

Ano. Certifikát je veřejná informace, kterou servery posílají každému návštěvníkovi, a tento nástroj ji zpracovává lokálně bez nahrávání. V tajnosti musí zůstat jen soukromé klíče.

Související nástroje