Utilia
Категории ▾
Јазик: mk ▾

X.509 декодер на сертификати

Декодирајте SSL/TLS сертификат, синџир или CSR во прелистувачот. Видете субјект, издавач, рок на важност, SAN, употреба на клучот и SHA-256 отпечаток.

Сертификатите се декодираат во вашиот прелистувач. Ништо не се качува, па внатрешните сертификати и CSR остануваат на вашиот компјутер.

Оваа алатка го чита сертификатот, но не го проверува неговиот потпис ниту синџирот на доверба: декодираниот сертификат не е доказ дека е автентичен.

Како да декодирате сертификат

  1. Залепете сертификат во Сертификат, синџир или CSR (PEM или Base64) или спуштете датотека на површината за спуштање. Се прифаќаат PEM текст (-----BEGIN CERTIFICATE-----), бинарен DER (.der, .cer), барање за потпишување сертификат (.csr) и PKCS#7 пакет (.p7b).
  2. Кликнете Декодирај. Залепен PEM блок се декодира и штом е комплетен неговиот ред -----END …-----. Вчитај пример покажува тест сертификат.
  3. Секој сертификат или CSR добива своја табела. Ознаката покажува Важечки датуми, Истечен или Сè уште не важи, а Копирај PEM го враќа назад како PEM (практично по отворање на бинарна DER датотека).
  4. За синџир (сертификат на сервер проследен со неговите посредни), секој блок се декодира по ред, а алатката забележува Издаден од сертификат n кога издавачот на сертификатот одговара на субјектот на друг од листата.

Што значат полињата

  • Субјект и Издавач се разликувачки имиња: CN (општо име), O (организација), OU, L (град), ST (држава или покраина), C (земја). Сертификат чиј издавач е еднаков на субјектот е означен како Самопотпишан.
  • Важи од и Важи до се датумите notBefore и notAfter, прикажани во вашата временска зона, со бројот на преостанати денови. Од 2020 прелистувачите одбиваат јавни TLS сертификати со важност над 398 дена, а CA/Browser Forum дополнително го скратува тој лимит.
  • Сериски број се прикажува во хексадецимален (како во прелистувачите и OpenSSL) и во декаден облик.
  • Алгоритам на потпис и Јавен клуч: за RSA големината на модулот (2048, 3072, 4096 бита) и јавниот експонент (скоро секогаш 65537); за елиптични криви кривата (P-256, P-384…); се препознава и Ed25519.
  • Проширувања: Subject Alternative Name (имињата на хостови, IP адресите и е-поштенските адреси што ги покрива сертификатот; прелистувачите го игнорираат CN и користат само SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE за издавач), Subject и Authority Key Identifiers, CRL Distribution Points, Authority Information Access (OCSP респондер и URL на CA Issuers) и Certificate Policies (DV, OV, EV). Проширувањата означени како критично мора да бидат разбрани од секој софтвер што го користи сертификатот.
  • SHA-1 отпечаток и SHA-256 отпечаток се хашови на целиот DER сертификат, пресметани со Web Crypto API на прелистувачот; се совпаѓаат со openssl x509 -fingerprint. Пин на јавниот клуч е Base64 SHA-256 на информациите за јавниот клуч, форматот што се користи за закачување на сертификати (certificate pinning).

Декодирање не е проверка

Оваа алатка е чист ASN.1/DER парсер. Не го проверува потписот, не гради синџир на доверба до коренски орган и не пребарува листи за отповикување или OCSP, бидејќи тоа би бараше мрежен пристап. Користете ја за да прегледате сертификат, да откриете зошто името на хостот не се совпаѓа или кога истекува, а не за да одлучите дали може да му се верува. Приватните клучеви се одбиваат намерно: ако залепите блок PRIVATE KEY, тој не се декодира, а ако некогаш сте го споделиле, сметајте го за изложен.

Често поставувани прашања

Како да го добијам сертификатот на веб-сајт?

Во повеќето прелистувачи кликнете на катанецот, отворете го прегледувачот на сертификати и извезете го како PEM. На командна линија, openssl s_client -connect example.com:443 -showcerts го печати целиот синџир; залепете ги блоковите овде.

Која е разликата меѓу PEM и DER?

DER е бинарното кодирање на сертификатот. PEM се истите бајти во Base64 меѓу редови BEGIN и END, што е полесно за копирање и залепување. Алатката ги чита и двата и ја декодира истата содржина.

Што е CSR?

Барање за потпишување сертификат е она што му го праќате на издавач на сертификати: содржи побараниот субјект, јавниот клуч и често побараните SAN. Сè уште нема издавач, важност или сериски број; тоа ги додава издавачот.

Зошто мојот прелистувач вели дека сертификатот е неважечки иако датумите се во ред?

Датумите се само една проверка. Името на хостот мора да се појави во Subject Alternative Name, синџирот мора да води до доверлив корен (недостасувачки посреден сертификат е честа причина), употребата на клучот мора да дозволува TLS, а сертификатот не смее да биде отповикан.

Дали е безбедно да залепам сертификат овде?

Да. Сертификатот е јавна информација што серверите ја испраќаат на секој посетител, а оваа алатка го обработува локално без да го качува. Само приватните клучеви мора да останат тајни.

Поврзани алатки