Utilia
Kategorier ▾
Sprog: da ▾

X.509-certifikatafkoder

Afkod et SSL/TLS-certifikat, en kæde eller en CSR i din browser. Se emne, udsteder, udløbsdato, SAN, nøgleanvendelse, offentlig nøgle og SHA-256-fingeraftryk.

Certifikater afkodes i din browser. Intet uploades, så interne certifikater og CSR'er bliver på din computer.

Værktøjet læser certifikatet, men verificerer hverken dets signatur eller tillidskæde: et afkodet certifikat er ikke bevis for, at det er ægte.

Sådan afkoder du et certifikat

  1. Indsæt et certifikat i Certifikat, kæde eller CSR (PEM eller Base64), eller slip en fil på feltet. PEM-tekst (-----BEGIN CERTIFICATE-----), binær DER (.der, .cer), en anmodning om certifikatsignering (.csr) og en PKCS#7-pakke (.p7b) accepteres alle.
  2. Klik på Afkod. En indsat PEM-blok afkodes også, så snart dens linje -----END …----- er komplet. Indlæs et eksempel viser et testcertifikat.
  3. Hvert certifikat eller hver CSR får sin egen tabel. Et mærke viser Gyldige datoer, Udløbet eller Endnu ikke gyldigt, og Kopiér PEM kopierer det tilbage som PEM (praktisk efter at have åbnet en binær DER-fil).
  4. For en kæde (et servercertifikat efterfulgt af dets mellemliggende certifikater) afkodes hver blok i rækkefølge, og værktøjet noterer Udstedt af certifikat n, når et certifikats udsteder svarer til emnet for et andet på listen.

Hvad felterne betyder

  • Emne (subject) og Udsteder er entydige navne (distinguished names): CN (almindeligt navn), O (organisation), OU, L (by), ST (delstat eller region), C (land). Et certifikat, hvor udsteder er lig med emne, markeres som Selvsigneret.
  • Gyldigt fra og Gyldigt til er datoerne notBefore og notAfter, vist i din tidszone, med antallet af dage tilbage. Siden 2020 afviser browsere offentlige TLS-certifikater, der er gyldige i mere end 398 dage, og CA/Browser Forum forkorter den grænse yderligere.
  • Serienummer vises hexadecimalt (som i browsere og OpenSSL) og decimalt.
  • Signaturalgoritme og Offentlig nøgle: for RSA modulets størrelse (2048, 3072, 4096 bit) og den offentlige eksponent (næsten altid 65537); for elliptiske kurver kurven (P-256, P-384 …); Ed25519 genkendes også.
  • Udvidelser: Subject Alternative Name (de værtsnavne, IP-adresser og e-mailadresser, som certifikatet dækker; browsere ignorerer CN og bruger kun SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning …), Basic Constraints (CA: TRUE for en udsteder), Subject og Authority Key Identifiers, CRL Distribution Points, Authority Information Access (OCSP-svarer og URL til CA Issuers) og Certificate Policies (DV, OV, EV). Udvidelser markeret som kritisk skal forstås af al software, der bruger certifikatet.
  • SHA-1-fingeraftryk og SHA-256-fingeraftryk er hashværdier af hele DER-certifikatet, beregnet med browserens Web Crypto API; de svarer til openssl x509 -fingerprint. Pin af offentlig nøgle er Base64 SHA-256 af oplysningerne om den offentlige nøgle, det format der bruges til certifikat-pinning.

At afkode er ikke det samme som at verificere

Værktøjet er en ren ASN.1/DER-parser. Det tjekker ikke signaturen, bygger ikke en tillidskæde til en rodmyndighed og forespørger ikke tilbagekaldelseslister eller OCSP, fordi det ville kræve netværksadgang. Brug det til at inspicere et certifikat, finde ud af, hvorfor et værtsnavn ikke passer, eller hvornår det udløber, ikke til at afgøre, om det kan stoles på. Private nøgler afvises bevidst: hvis du indsætter en PRIVATE KEY-blok, afkodes den ikke, og du bør betragte den som kompromitteret, hvis du nogensinde har delt den.

Ofte stillede spørgsmål

Hvordan får jeg et websites certifikat?

I de fleste browsere klikker du på hængelåsen, åbner certifikatfremviseren og eksporterer det som PEM. På kommandolinjen udskriver openssl s_client -connect example.com:443 -showcerts hele kæden; indsæt blokkene her.

Hvad er forskellen på PEM og DER?

DER er certifikatets binære kodning. PEM er de samme bytes i Base64 mellem linjerne BEGIN og END, hvilket er lettere at kopiere og indsætte. Værktøjet læser begge og afkoder det samme indhold.

Hvad er en CSR?

En anmodning om certifikatsignering er det, du sender til en certifikatudsteder: den indeholder det ønskede emne, den offentlige nøgle og ofte de ønskede SAN’er. Den har endnu ingen udsteder, gyldighed eller serienummer; dem tilføjer udstederen.

Hvorfor siger min browser, at certifikatet er ugyldigt, når datoerne er i orden?

Datoer er kun én kontrol. Værtsnavnet skal stå i Subject Alternative Name, kæden skal føre til en betroet rod (et manglende mellemliggende certifikat er en almindelig årsag), nøgleanvendelsen skal tillade TLS, og certifikatet må ikke være tilbagekaldt.

Er det sikkert at indsætte et certifikat her?

Ja. Et certifikat er offentlig information, som servere sender til alle besøgende, og værktøjet behandler det lokalt uden at uploade det. Det er kun private nøgler, der skal holdes hemmelige.

Relaterede værktøjer