Utilia
Kategooriad ▾
Keel: et ▾

X.509 sertifikaadi dekooder

Dekodeeri SSL/TLS-sertifikaat, ahel või CSR brauseris. Vaata subjekti, väljastajat, aegumist, SAN-i, võtmekasutust, avalikku võtit ja SHA-256 sõrmejälge.

Sertifikaadid dekodeeritakse sinu brauseris. Midagi ei laadita üles, seega jäävad sisesed sertifikaadid ja CSR-id sinu arvutisse.

See tööriist loeb sertifikaati, kuid ei kontrolli selle allkirja ega usaldusahelat: dekodeeritud sertifikaat ei ole tõend selle ehtsuse kohta.

Kuidas sertifikaati dekodeerida

  1. Kleebi sertifikaat lahtrisse Sertifikaat, ahel või CSR (PEM või Base64) või lohista fail lohistusalale. Aktsepteeritakse PEM-teksti (-----BEGIN CERTIFICATE-----), binaarset DER-i (.der, .cer), sertifikaadi allkirjastamistaotlust (.csr) ja PKCS#7 komplekti (.p7b).
  2. Klõpsa Dekodeeri. Kleebitud PEM-plokk dekodeeritakse ka kohe, kui selle rida -----END …----- on täielik. Laadi näide näitab testsertifikaati.
  3. Iga sertifikaat või CSR saab oma tabeli. Silt näitab Kehtivad kuupäevad, Aegunud või Pole veel kehtiv ning Kopeeri PEM kopeerib selle tagasi PEM-ina (mugav pärast binaarse DER-faili avamist).
  4. Ahela puhul (serveri sertifikaat, millele järgnevad vahesertifikaadid) dekodeeritakse iga plokk järjekorras ja tööriist märgib Väljastanud sertifikaat n, kui sertifikaadi väljastaja ühtib mõne teise loendis oleva subjektiga.

Mida väljad tähendavad

  • Subjekt ja Väljastaja on eristusnimed: CN (üldnimi), O (organisatsioon), OU, L (linn), ST (osariik või provints), C (riik). Sertifikaat, mille väljastaja on võrdne subjektiga, märgitakse kui Ise allkirjastatud.
  • Kehtib alates ja Kehtib kuni on kuupäevad notBefore ja notAfter, kuvatud sinu ajavööndis koos järelejäänud päevade arvuga. Alates 2020. aastast lükkavad brauserid tagasi avalikud TLS-sertifikaadid, mis kehtivad üle 398 päeva, ja CA/Browser Forum lühendab seda piiri veelgi.
  • Seerianumber kuvatakse kuueteistkümnendsüsteemis (nagu brauserites ja OpenSSL-is) ning kümnendsüsteemis.
  • Allkirjastamisalgoritm ja Avalik võti: RSA puhul mooduli suurus (2048, 3072, 4096 bitti) ja avalik astendaja (peaaegu alati 65537); elliptiliste kõverate puhul kõver (P-256, P-384…); tuntakse ära ka Ed25519.
  • Laiendused: Subject Alternative Name (hostinimed, IP-aadressid ja e-posti aadressid, mida sertifikaat katab; brauserid ignoreerivad CN-i ja kasutavad ainult SAN-i), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE sertifitseerimiskeskuse puhul), Subject ja Authority Key Identifiers, CRL Distribution Points, Authority Information Access (OCSP-vastaja ja CA Issuers URL) ning Certificate Policies (DV, OV, EV). Laiendid, mis on märgitud kriitiline, peab mõistma iga tarkvara, mis sertifikaati kasutab.
  • SHA-1 sõrmejälg ja SHA-256 sõrmejälg on kogu DER-sertifikaadi räsid, arvutatud brauseri Web Crypto API-ga; need ühtivad käsuga openssl x509 -fingerprint. Avaliku võtme pin on avaliku võtme info Base64 SHA-256, sertifikaadi kinnitamisel (pinning) kasutatav vorming.

Dekodeerimine ei ole kontrollimine

See tööriist on puhas ASN.1/DER parser. See ei kontrolli allkirja, ei ehita usaldusahelat juursertifitseerimiskeskuseni ega päri tühistusnimekirju ega OCSP-d, sest see nõuaks võrgujuurdepääsu. Kasuta seda sertifikaadi uurimiseks, selgitamiseks, miks hostinimi ei ühti või millal sertifikaat aegub, mitte otsustamiseks, kas sellele võib usaldada. Privaatvõtmed lükatakse meelega tagasi: kui kleebid PRIVATE KEY ploki, seda ei dekodeerita ja kui oled seda kunagi jaganud, pea seda avalikustatuks.

Korduma kippuvad küsimused

Kuidas veebisaidi sertifikaati kätte saada?

Enamikus brauserites klõpsa lukukesel, ava sertifikaadivaatur ja ekspordi see PEM-ina. Käsurealt prindib openssl s_client -connect example.com:443 -showcerts kogu ahela; kleebi plokid siia.

Mis vahe on PEM-il ja DER-il?

DER on sertifikaadi binaarkodeering. PEM on samad baidid Base64-s ridade BEGIN ja END vahel, mida on lihtsam kopeerida ja kleepida. Tööriist loeb mõlemat ja dekodeerib sama sisu.

Mis on CSR?

Sertifikaadi allkirjastamistaotlus on see, mille saadad sertifitseerimiskeskusele: see sisaldab soovitud subjekti, avalikku võtit ja sageli soovitud SAN-e. Sellel pole veel väljastajat, kehtivust ega seerianumbrit; need lisab keskus.

Miks ütleb mu brauser, et sertifikaat on vigane, kuigi kuupäevad on korras?

Kuupäevad on ainult üks kontroll. Hostinimi peab esinema Subject Alternative Name’is, ahel peab viima usaldatud juureni (puuduv vahesertifikaat on levinud põhjus), võtmekasutus peab TLS-i lubama ja sertifikaati ei tohi olla tühistatud.

Kas on turvaline sertifikaat siia kleepida?

Jah. Sertifikaat on avalik teave, mida serverid saadavad igale külastajale, ja see tööriist töötleb seda kohapeal ilma üles laadimata. Saladuseks peavad jääma ainult privaatvõtmed.

Seotud tööriistad