Utilia
Kategorije ▾
Jezik: sl ▾

Dekodiranje potrdil X.509

Dekodiraj potrdilo SSL/TLS, verigo ali CSR v brskalniku. Oglej si subjekt, izdajatelja, datum poteka, SAN, uporabo ključa, javni ključ in prstni odtis SHA-256.

Potrdila se dekodirajo v tvojem brskalniku. Nič se ne naloži na strežnik, zato notranja potrdila in zahtevki CSR ostanejo v tvojem računalniku.

To orodje prebere potrdilo, vendar ne preverja njegovega podpisa ali verige zaupanja: dekodirano potrdilo ni dokaz, da je pristno.

Kako dekodirati potrdilo

  1. Potrdilo prilepi v Potrdilo, veriga ali CSR (PEM ali Base64) ali spusti datoteko na območje za spuščanje. Sprejeto je besedilo PEM (-----BEGIN CERTIFICATE-----), dvojiški DER (.der, .cer), zahtevek za podpis potrdila (.csr) in paket PKCS#7 (.p7b).
  2. Klikni Dekodiraj. Prilepljen blok PEM se dekodira tudi takoj, ko je njegova vrstica -----END …----- popolna. Naloži primer pokaže testno potrdilo.
  3. Vsako potrdilo ali CSR dobi svojo tabelo. Značka pokaže Veljavni datumi, Poteklo ali Še ne velja, Kopiraj PEM pa ga skopira nazaj kot PEM (priročno po odprtju dvojiške datoteke DER).
  4. Pri verigi (potrdilo strežnika, ki mu sledijo vmesna potrdila) se vsak blok dekodira po vrsti, orodje pa zapiše Izdalo potrdilo n, kadar se izdajatelj potrdila ujema s subjektom drugega na seznamu.

Kaj pomenijo polja

  • Subjekt in Izdajatelj sta razločevalni imeni: CN (običajno ime), O (organizacija), OU, L (mesto), ST (zvezna država ali provinca), C (država). Potrdilo, katerega izdajatelj je enak subjektu, je označeno kot Samopodpisano.
  • Velja od in Velja do sta datuma notBefore in notAfter, prikazana v tvojem časovnem pasu, s številom preostalih dni. Od leta 2020 brskalniki zavračajo javna potrdila TLS, veljavna dlje kot 398 dni, forum CA/Browser to omejitev še skrajšuje.
  • Serijska številka je prikazana šestnajstiško (kot v brskalnikih in OpenSSL) in desetiško.
  • Algoritem podpisa in Javni ključ: pri RSA velikost modula (2048, 3072, 4096 bitov) in javni eksponent (skoraj vedno 65537); pri eliptičnih krivuljah krivulja (P-256, P-384 …); prepoznan je tudi Ed25519.
  • Razširitve: Subject Alternative Name (imena gostiteljev, naslovi IP in e-poštni naslovi, ki jih potrdilo pokriva; brskalniki prezrejo CN in uporabljajo samo SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning …), Basic Constraints (CA: TRUE za overitelja), identifikatorji ključa subjekta in overitelja, točke razdeljevanja CRL, Authority Information Access (odzivnik OCSP in URL za CA Issuers) in politike potrdila (DV, OV, EV). Razširitve, označene s kritično, mora razumeti vsaka programska oprema, ki potrdilo uporablja.
  • Prstni odtis SHA-1 in Prstni odtis SHA-256 sta zgoščeni vrednosti celotnega potrdila DER, izračunani z API-jem Web Crypto brskalnika; ujemata se z openssl x509 -fingerprint. Pripeta vrednost javnega ključa je SHA-256 podatkov o javnem ključu v zapisu Base64, oblika, ki se uporablja za pripenjanje potrdil.

Dekodiranje ni preverjanje

To orodje je čisti razčlenjevalnik ASN.1/DER. Ne preverja podpisa, ne gradi verige zaupanja do korenskega overitelja in ne poizveduje po seznamih preklicev ali OCSP, ker bi to zahtevalo dostop do omrežja. Uporabi ga za pregled potrdila, za ugotavljanje, zakaj ime gostitelja ne ustreza ali kdaj potrdilo poteče, ne pa za odločanje, ali mu je mogoče zaupati. Zasebni ključi so namenoma zavrnjeni: če prilepiš blok PRIVATE KEY, se ne dekodira, in če si ga kdaj delil, ga obravnavaj kot razkritega.

Pogosta vprašanja

Kako dobim potrdilo spletne strani?

V večini brskalnikov klikni ključavnico, odpri pregledovalnik potrdil in ga izvozi kot PEM. V ukazni vrstici openssl s_client -connect example.com:443 -showcerts izpiše celotno verigo; bloke prilepi sem.

Kakšna je razlika med PEM in DER?

DER je dvojiško kodiranje potrdila. PEM so isti bajti v zapisu Base64 med vrsticama BEGIN in END, kar je lažje kopirati in lepiti. Orodje prebere oba in dekodira isto vsebino.

Kaj je CSR?

Zahtevek za podpis potrdila je tisto, kar pošlješ overitelju potrdil: vsebuje zahtevani subjekt, javni ključ in pogosto zahtevane SAN. Še nima izdajatelja, veljavnosti ali serijske številke; te doda overitelj.

Zakaj brskalnik pravi, da je potrdilo neveljavno, čeprav so datumi v redu?

Datumi so samo eno od preverjanj. Ime gostitelja se mora pojaviti v Subject Alternative Name, veriga mora voditi do zaupanja vrednega korena (manjkajoče vmesno potrdilo je pogost vzrok), uporaba ključa mora dovoljevati TLS, potrdilo pa ne sme biti preklicano.

Ali je varno, da sem prilepim potrdilo?

Da. Potrdilo je javna informacija, ki jo strežniki pošljejo vsakemu obiskovalcu, to orodje pa ga obdela lokalno, ne da bi ga naložilo na strežnik. Skrivni morajo ostati samo zasebni ključi.

Sorodna orodja