Utilia
Kategoriat ▾
Kieli: fi ▾

X.509-varmenteen dekooderi

Pura SSL/TLS-varmenne, ketju tai CSR selaimessasi. Näe kohde, myöntäjä, vanhenemispäivä, SAN, avainkäyttö, julkinen avain ja SHA-256-sormenjälki.

Varmenteet puretaan selaimessasi. Mitään ei lähetetä, joten sisäiset varmenteet ja CSR:t pysyvät tietokoneellasi.

Tämä työkalu lukee varmenteen mutta ei tarkista sen allekirjoitusta tai luottamusketjua: puretun varmenteen perusteella ei voi päätellä, onko se aito.

Näin puret varmenteen

  1. Liitä varmenne kenttään Varmenne, ketju tai CSR (PEM tai Base64) tai pudota tiedosto pudotusalueelle. PEM-teksti (-----BEGIN CERTIFICATE-----), binäärinen DER (.der, .cer), varmennepyyntö (.csr) ja PKCS#7-paketti (.p7b) kaikki hyväksytään.
  2. Napsauta Pura. Liitetty PEM-lohko puretaan myös heti, kun sen -----END …------rivi on valmis. Lataa esimerkki näyttää testivarmenteen.
  3. Jokainen varmenne tai CSR saa oman taulukkonsa. Merkki näyttää Päivämäärät voimassa, Vanhentunut tai Ei vielä voimassa, ja Kopioi PEM kopioi sen takaisin PEM-muodossa (kätevää binäärisen DER-tiedoston avaamisen jälkeen).
  4. Ketjussa (palvelinvarmenne ja sen välivarmenteet) jokainen lohko puretaan järjestyksessä, ja työkalu merkitsee Myöntänyt varmenne n, kun varmenteen myöntäjä vastaa toisen luettelossa olevan varmenteen kohdetta.

Mitä kentät tarkoittavat

  • Kohde ja Myöntäjä ovat erottuvia nimiä: CN (yleinen nimi), O (organisaatio), OU, L (kaupunki), ST (osavaltio tai provinssi), C (maa). Varmenne, jonka myöntäjä on sama kuin kohde, merkitään Itse allekirjoitetuksi.
  • Voimassa alkaen ja Voimassa asti ovat päivämäärät notBefore ja notAfter, näytettynä omalla aikavyöhykkeelläsi ja jäljellä olevine päivineen. Vuodesta 2020 alkaen selaimet ovat hylänneet julkiset TLS-varmenteet, jotka ovat voimassa yli 398 päivää, ja CA/Browser Forum lyhentää tätä rajaa edelleen.
  • Sarjanumero näytetään heksadesimaalina (kuten selaimissa ja OpenSSL:ssä) ja desimaalina.
  • Allekirjoitusalgoritmi ja Julkinen avain: RSA:lle moduulin koko (2048, 3072, 4096 bittiä) ja julkinen eksponentti (lähes aina 65537); elliptisille käyrille käyrä (P-256, P-384…); myös Ed25519 tunnistetaan.
  • Laajennukset: Subject Alternative Name (isäntänimet, IP-osoitteet ja sähköpostiosoitteet, jotka varmenne kattaa; selaimet ohittavat CN:n ja käyttävät vain SAN:ia), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE myöntäjälle), Subject- ja Authority Key Identifier -tunnisteet, CRL Distribution Points, Authority Information Access (OCSP-vastaaja ja CA Issuers -URL) sekä Certificate Policies (DV, OV, EV). Kriittiseksi merkityt laajennukset on ymmärrettävä kaikessa varmennetta käyttävässä ohjelmistossa.
  • SHA-1-sormenjälki ja SHA-256-sormenjälki ovat koko DER-varmenteen tiivisteitä, jotka lasketaan selaimen Web Crypto API:lla; ne vastaavat komentoa openssl x509 -fingerprint. Julkisen avaimen kiinnitys on julkisen avaimen tietojen Base64-muotoinen SHA-256, eli varmenteen kiinnityksessä (pinning) käytettävä muoto.

Purkaminen ei ole tarkistamista

Tämä työkalu on puhdas ASN.1/DER-jäsennin. Se ei tarkista allekirjoitusta, ei rakenna luottamusketjua juurivarmentajaan eikä kysy mitätöintilistoja tai OCSP:tä, koska se vaatisi verkkoyhteyttä. Käytä sitä varmenteen tarkasteluun, sen selvittämiseen, miksi isäntänimi ei täsmää tai milloin varmenne vanhenee, älä sen päättämiseen, voiko siihen luottaa. Yksityiset avaimet hylätään tarkoituksella: jos liität PRIVATE KEY -lohkon, sitä ei pureta, ja sinun pitäisi pitää avainta paljastuneena, jos olet koskaan jakanut sen.

Usein kysytyt kysymykset

Miten saan verkkosivuston varmenteen?

Useimmissa selaimissa napsauta lukkokuvaketta, avaa varmenteen katselin ja vie se PEM-muodossa. Komentorivillä openssl s_client -connect example.com:443 -showcerts tulostaa koko ketjun; liitä lohkot tähän.

Mitä eroa on PEM:llä ja DER:llä?

DER on varmenteen binäärikoodaus. PEM on samat tavut Base64-muodossa BEGIN- ja END-rivien välissä, jota on helpompi kopioida ja liittää. Työkalu lukee molemmat ja purkaa saman sisällön.

Mikä CSR on?

Varmennepyyntö (certificate signing request) on se, minkä lähetät varmentajalle: se sisältää pyydetyn kohteen, julkisen avaimen ja usein pyydetyt SAN-nimet. Siinä ei vielä ole myöntäjää, voimassaoloa tai sarjanumeroa; ne lisää varmentaja.

Miksi selaimeni sanoo varmenteen olevan virheellinen, vaikka päivämäärät ovat kunnossa?

Päivämäärät ovat vain yksi tarkistus. Isäntänimen on oltava Subject Alternative Name -kentässä, ketjun on johdettava luotettuun juureen (puuttuva välivarmenne on yleinen syy), avainkäytön on sallittava TLS, eikä varmennetta saa olla mitätöity.

Onko turvallista liittää varmenne tähän?

On. Varmenne on julkista tietoa, jonka palvelimet lähettävät jokaiselle kävijälle, ja tämä työkalu käsittelee sen paikallisesti lähettämättä sitä minnekään. Vain yksityisten avainten on pysyttävä salassa.

Aiheeseen liittyvät työkalut