Utilia
Kategorije ▾
Jezik: sr ▾

X.509 dekoder sertifikata

Dekodiraj SSL/TLS sertifikat, lanac ili CSR u pregledaču. Vidi subjekt, izdavaoca, datum isteka, SAN, upotrebu ključa, javni ključ i SHA-256 otisak.

Sertifikati se dekodiraju u tvom pregledaču. Ništa se ne otprema, pa interni sertifikati i CSR zahtevi ostaju na tvom računaru.

Ovaj alat čita sertifikat, ali ne proverava njegov potpis ni lanac poverenja: dekodiran sertifikat nije dokaz da je autentičan.

Kako se dekodira sertifikat

  1. Nalepi sertifikat u Sertifikat, lanac ili CSR (PEM ili Base64) ili prevuci fajl na zonu za otpuštanje. Prihvataju se PEM tekst (-----BEGIN CERTIFICATE-----), binarni DER (.der, .cer), zahtev za potpisivanje sertifikata (.csr) i PKCS#7 paket (.p7b).
  2. Klikni Dekodiraj. Nalepljen PEM blok se dekodira i čim je njegova linija -----END …----- kompletna. Učitaj primer prikazuje probni sertifikat.
  3. Svaki sertifikat ili CSR dobija sopstvenu tabelu. Oznaka prikazuje Datumi važe, Isteklo ili Još ne važi, a Kopiraj PEM ga kopira nazad kao PEM (zgodno posle otvaranja binarnog DER fajla).
  4. Za lanac (serverski sertifikat iza kog slede posrednički), svaki blok se dekodira redom, a alat beleži Izdao sertifikat n kada se izdavalac nekog sertifikata poklapa sa subjektom drugog sa liste.

Šta znače polja

  • Subjekt i Izdavalac su istaknuta imena (distinguished names): CN (uobičajeno ime), O (organizacija), OU, L (grad), ST (država ili pokrajina), C (zemlja). Sertifikat čiji je izdavalac jednak subjektu označava se kao Samopotpisan.
  • Važi od i Važi do su datumi notBefore i notAfter, prikazani u tvojoj vremenskoj zoni, sa brojem preostalih dana. Od 2020. pregledači odbijaju javne TLS sertifikate koji važe duže od 398 dana, a CA/Browser Forum taj limit dodatno skraćuje.
  • Serijski broj se prikazuje heksadecimalno (kao u pregledačima i OpenSSL-u) i decimalno.
  • Algoritam potpisa i Javni ključ: za RSA veličina modula (2048, 3072, 4096 bita) i javni eksponent (gotovo uvek 65537); za eliptične krive kriva (P-256, P-384…); prepoznaje se i Ed25519.
  • Ekstenzije: Subject Alternative Name (imena hostova, IP adrese i adrese e-pošte koje sertifikat pokriva; pregledači ignorišu CN i koriste samo SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE za autoritet), identifikatori ključa subjekta i autoriteta, CRL Distribution Points, Authority Information Access (OCSP odgovarač i URL izdavaoca) i Certificate Policies (DV, OV, EV). Ekstenzije označene sa kritično mora da razume svaki softver koji koristi sertifikat.
  • SHA-1 otisak i SHA-256 otisak su heševi celog DER sertifikata, izračunati pomoću Web Crypto API-ja pregledača; poklapaju se sa openssl x509 -fingerprint. PIN javnog ključa je Base64 SHA-256 informacije o javnom ključu, format koji se koristi za pinovanje sertifikata.

Dekodiranje nije provera

Ovaj alat je čist ASN.1/DER parser. Ne proverava potpis, ne gradi lanac poverenja do korenskog autoriteta i ne proverava liste opoziva ni OCSP, jer bi to zahtevalo pristup mreži. Koristi ga da pregledaš sertifikat, otkriješ zašto se ime hosta ne poklapa ili kada ističe, a ne da odlučiš da li mu se može verovati. Privatni ključevi se namerno odbijaju: ako nalepiš blok PRIVATE KEY, on se ne dekodira, a ako si ga ikada delio, smatraj ga izloženim.

Česta pitanja

Kako da dobijem sertifikat nekog sajta?

U većini pregledača klikni katanac, otvori pregled sertifikata i izvezi ga kao PEM. U komandnoj liniji openssl s_client -connect example.com:443 -showcerts ispisuje ceo lanac; nalepi blokove ovde.

Koja je razlika između PEM-a i DER-a?

DER je binarno kodiranje sertifikata. PEM su isti bajtovi u Base64 između linija BEGIN i END, što je lakše kopirati i nalepiti. Alat čita oba i dekodira isti sadržaj.

Šta je CSR?

Zahtev za potpisivanje sertifikata je ono što šalješ sertifikacionom telu: sadrži traženi subjekt, javni ključ i često tražene SAN-ove. Još nema izdavaoca, važenje ni serijski broj; njih dodaje sertifikaciono telo.

Zašto pregledač kaže da je sertifikat neispravan iako su datumi u redu?

Datumi su samo jedna provera. Ime hosta mora da se pojavi u Subject Alternative Name, lanac mora da vodi do pouzdanog korena (nedostajući posrednik je čest uzrok), upotreba ključa mora da dozvoljava TLS, a sertifikat ne sme biti opozvan.

Da li je bezbedno nalepiti sertifikat ovde?

Da. Sertifikat je javna informacija koju serveri šalju svakom posetiocu, a ovaj alat je obrađuje lokalno bez otpremanja. Samo privatni ključevi moraju ostati tajni.

Srodni alati