X.509 Certificate Decoder

Paano mag-decode ng certificate

1. Mag-paste ng certificate sa Certificate, chain o CSR (PEM o Base64), o mag-drop ng file sa drop zone. Tinatanggap ang PEM text (-----BEGIN CERTIFICATE-----), binary na DER (.der, .cer), certificate signing request (.csr) at PKCS#7 bundle (.p7b).
2. I-click ang I-decode. Dine-decode rin ang na-paste na PEM block sa sandaling kumpleto na ang linyang -----END …----- nito. Ang Mag-load ng halimbawa ay nagpapakita ng test certificate.
3. Bawat certificate o CSR ay may sariling talahanayan. Ipinapakita ng badge ang Valid ang mga petsa, Expired na o Hindi pa valid, at kinokopya ng Kopyahin ang PEM ito pabalik bilang PEM (madaling gamitin pagkatapos magbukas ng binary na DER file).
4. Para sa chain (certificate ng server na sinusundan ng mga intermediate nito), dine-decode nang magkakasunod ang bawat block, at nagtatala ang tool ng Inilabas ng certificate n kapag tumutugma ang issuer ng isang certificate sa subject ng isa pa sa listahan.

Ano ang ibig sabihin ng mga field

• Ang Subject at Issuer ay mga distinguished name: CN (common name), O (organization), OU, L (lungsod), ST (estado o probinsya), C (bansa). Ang certificate na ang issuer ay katumbas ng subject ay minamarkahang Self-signed.
• Ang Valid mula at Valid hanggang ay ang mga petsang notBefore at notAfter, na ipinapakita sa iyong time zone, kasama ang bilang ng natitirang araw. Mula 2020, tinatanggihan ng mga browser ang mga pampublikong TLS certificate na valid nang higit sa 398 araw, at lalo pang pinaiikli ng CA/Browser Forum ang limitasyong iyon.
• Ang Serial number ay ipinapakita sa hexadecimal (gaya sa mga browser at OpenSSL) at sa decimal.
• Signature algorithm at Public key: para sa RSA, ang laki ng modulus (2048, 3072, 4096 bit) at ang public exponent (halos laging 65537); para sa mga elliptic curve, ang curve (P-256, P-384…); kinikilala rin ang Ed25519.
• Mga extension: Subject Alternative Name (ang mga host name, IP address at email address na sakop ng certificate; binabalewala ng mga browser ang CN at SAN lang ang ginagamit), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE para sa awtoridad), Subject at Authority Key Identifier, CRL Distribution Points, Authority Information Access (OCSP responder at URL ng CA Issuers) at Certificate Policies (DV, OV, EV). Ang mga extension na may markang critical ay dapat maunawaan ng anumang software na gumagamit ng certificate.
• Ang SHA-1 fingerprint at SHA-256 fingerprint ay mga hash ng buong DER certificate, na kinukuwenta gamit ang Web Crypto API ng browser; tumutugma ang mga ito sa openssl x509 -fingerprint. Ang Public key pin ay ang Base64 na SHA-256 ng public key info, ang format na ginagamit sa certificate pinning.

Hindi pareho ang pag-decode at pag-verify

Purong ASN.1/DER parser ang tool na ito. Hindi nito sinusuri ang signature, hindi bumubuo ng trust chain papunta sa root authority, at hindi nagtatanong sa mga revocation list o OCSP, dahil mangangailangan iyon ng network access. Gamitin ito para suriin ang certificate, alamin kung bakit hindi tugma ang isang host name o kailan ito mag-e-expire, hindi para magpasya kung mapagkakatiwalaan ito. Sadyang tinatanggihan ang mga private key: kung mag-paste ka ng PRIVATE KEY block, hindi ito dine-decode, at ituring mong nakompromiso ito kung naibahagi mo na ito kailanman.