Utilia
Kategórie ▾
Jazyk: sk ▾

Dekodér certifikátov X.509

Dekóduj certifikát SSL/TLS, reťazec alebo CSR v prehliadači. Zobrazí subjekt, vydavateľa, dátum expirácie, SAN, použitie kľúča, verejný kľúč a odtlačok SHA-256.

Certifikáty sa dekódujú v tvojom prehliadači. Nič sa nenahráva, takže interné certifikáty a CSR zostávajú na tvojom počítači.

Tento nástroj certifikát číta, ale neoveruje jeho podpis ani reťazec dôvery: dekódovaný certifikát nie je dôkazom, že je pravý.

Ako dekódovať certifikát

  1. Vlož certifikát do poľa Certifikát, reťazec alebo CSR (PEM alebo Base64) alebo presuň súbor do oblasti na presun. Prijíma sa text PEM (-----BEGIN CERTIFICATE-----), binárny DER (.der, .cer), žiadosť o podpis certifikátu (.csr) aj balík PKCS#7 (.p7b).
  2. Klikni na Dekódovať. Vložený blok PEM sa dekóduje aj hneď po dokončení riadka -----END …-----. Načítať príklad zobrazí testovací certifikát.
  3. Každý certifikát alebo CSR dostane vlastnú tabuľku. Odznak ukáže Platné dátumy, Expirovaný alebo Zatiaľ neplatný a Kopírovať PEM ho skopíruje späť ako PEM (hodí sa po otvorení binárneho súboru DER).
  4. Pri reťazci (certifikát servera nasledovaný sprostredkovateľskými) sa každý blok dekóduje v poradí a nástroj uvedie Vydal certifikát n, keď vydavateľ certifikátu zodpovedá subjektu iného certifikátu v zozname.

Funguje v tvojom prehliadači. Nič, čo zadáš, sa neodosiela na server.

Čo znamenajú polia

  • Subjekt a Vydavateľ sú rozlišovacie mená: CN (bežný názov), O (organizácia), OU, L (mesto), ST (štát alebo provincia), C (krajina). Certifikát, ktorého vydavateľ sa rovná subjektu, sa označí ako Samopodpísaný.
  • Platné od a Platné do sú dátumy notBefore a notAfter zobrazené v tvojom časovom pásme s počtom zostávajúcich dní. Od roku 2020 prehliadače odmietajú verejné certifikáty TLS s platnosťou dlhšou než 398 dní a fórum CA/Browser tento limit ďalej skracuje.
  • Sériové číslo sa zobrazuje hexadecimálne (ako v prehliadačoch a OpenSSL) aj desiatkovo.
  • Podpisový algoritmus a Verejný kľúč: pri RSA veľkosť modulu (2048, 3072, 4096 bitov) a verejný exponent (takmer vždy 65537); pri eliptických krivkách krivka (P-256, P-384…); rozpoznáva sa aj Ed25519.
  • Rozšírenia: Subject Alternative Name (názvy hostiteľov, adresy IP a e-mailové adresy, ktoré certifikát pokrýva; prehliadače ignorujú CN a používajú iba SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE pre autoritu), identifikátory kľúča subjektu a autority, CRL Distribution Points, Authority Information Access (respondér OCSP a adresa URL CA Issuers) a Certificate Policies (DV, OV, EV). Rozšírenia označené ako kritické musí rozumieť každý softvér, ktorý certifikát používa.
  • Odtlačok SHA-1 a Odtlačok SHA-256 sú haše celého certifikátu DER vypočítané cez rozhranie Web Crypto prehliadača; zodpovedajú openssl x509 -fingerprint. Pin verejného kľúča je SHA-256 informácie o verejnom kľúči v Base64, formát používaný na pripínanie certifikátov.

Dekódovanie nie je overenie

Tento nástroj je čistý parser ASN.1/DER. Nekontroluje podpis, nezostavuje reťazec dôvery ku koreňovej autorite a nedopytuje zoznamy odvolaných certifikátov ani OCSP, pretože by to vyžadovalo prístup k sieti. Použi ho na preskúmanie certifikátu, na zistenie, prečo nesedí názov hostiteľa alebo kedy certifikát expiruje, nie na rozhodnutie, či mu možno dôverovať. Súkromné kľúče sa zámerne odmietajú: ak vložíš blok PRIVATE KEY, nedekóduje sa a ak si ho niekedy zdieľal, pokladaj ho za prezradený.

Často kladené otázky

Ako získam certifikát webovej stránky?

Vo väčšine prehliadačov klikni na zámok, otvor zobrazovač certifikátu a exportuj ho ako PEM. V príkazovom riadku openssl s_client -connect example.com:443 -showcerts vypíše celý reťazec; bloky vlož sem.

Aký je rozdiel medzi PEM a DER?

DER je binárne kódovanie certifikátu. PEM sú tie isté bajty v Base64 medzi riadkami BEGIN a END, čo sa ľahšie kopíruje a vkladá. Nástroj číta oba a dekóduje rovnaký obsah.

Čo je CSR?

Žiadosť o podpis certifikátu je to, čo posielaš certifikačnej autorite: obsahuje požadovaný subjekt, verejný kľúč a často aj požadované SAN. Zatiaľ nemá vydavateľa, platnosť ani sériové číslo; tie pridá autorita.

Prečo prehliadač hlási neplatný certifikát, hoci dátumy sú v poriadku?

Dátumy sú len jedna kontrola. Názov hostiteľa sa musí objaviť v Subject Alternative Name, reťazec musí viesť k dôveryhodnému koreňu (chýbajúci sprostredkovateľský certifikát je častou príčinou), použitie kľúča musí povoľovať TLS a certifikát nesmie byť odvolaný.

Je bezpečné vložiť sem certifikát?

Áno. Certifikát je verejná informácia, ktorú servery posielajú každému návštevníkovi, a tento nástroj ho spracúva lokálne bez nahrávania. Tajné musia zostať len súkromné kľúče.

Súvisiace nástroje