Αποκωδικοποιητής πιστοποιητικών και CSR (X.509 / PKCS#10)

Τα πιστοποιητικά και οι αιτήσεις υπογραφής πιστοποιητικών είναι πυκνά, δυαδικά κωδικοποιημένα έγγραφα — η επικόλληση ενός σε έναν τυχαίο online αποκωδικοποιητή σημαίνει ότι εμπιστεύεστε τον server ενός αγνώστου με ένα αρχείο που μπορεί να περιέχει τα εσωτερικά σας ονόματα υπολογιστών, τη νομική επωνυμία του οργανισμού σας ή ένα δημόσιο κλειδί που πρόκειται να υποβάλετε σε μια αρχή πιστοποίησης. Αυτό το εργαλείο αποκωδικοποιεί πιστοποιητικά X.509 και CSR PKCS#10 εξ ολοκλήρου μέσα στην καρτέλα του browser σας: το κείμενο PEM αποκωδικοποιείται από base64 σε ακατέργαστα DER bytes τοπικά, διατρέχεται πεδίο προς πεδίο με έναν γνήσιο αναλυτή ASN.1 tag-length-value και δεν μεταδίδεται ποτέ πουθενά.

Στο παρασκήνιο, αυτό δεν είναι ένα regex κόλπο ή ένα έτοιμο πρότυπο — είναι ένας πραγματικός αναγνώστης για τους κανόνες κωδικοποίησης DER που ορίζονται στο RFC 5280 (X.509) και στο RFC 2986 (PKCS#10): διαβάζει κάθε byte ετικέτας, αποκωδικοποιεί μήκη σύντομης και μακράς μορφής, εισχωρεί αναδρομικά σε κατασκευές SEQUENCE και SET και αποκωδικοποιεί πρωταρχικούς τύπους όπως INTEGER, BIT STRING, OCTET STRING και OBJECT IDENTIFIER. Οι αναγνωριστές αντικειμένων μετατρέπονται από ακατέργαστα bytes σε σημειογραφία με τελείες και αντιστοιχίζονται με γνωστές τιμές, έτσι ώστε η έξοδος να εμφανίζει αναγνώσιμες ετικέτες όπως CN, O και C για τα πεδία ονόματος, και RSA ή EC για τον αλγόριθμο δημόσιου κλειδιού, αντί για έναν τοίχο αριθμών.

Από ένα πιστοποιητικό, το εργαλείο εξάγει την έκδοση, τον σειριακό αριθμό, τα διακεκριμένα ονόματα issuer και subject, τις ημερομηνίες ισχύος notBefore/notAfter (με κατάσταση σε απλή γλώσσα valid/expired/not-yet-valid), τον αλγόριθμο και το μέγεθος του δημόσιου κλειδιού — μήκος συντελεστή RSA ή την ονομασμένη καμπύλη EC — και, όταν υπάρχει, την επέκταση Subject Alternative Name που παραθέτει κάθε όνομα DNS, διεύθυνση IP, email ή URI που καλύπτει το πιστοποιητικό. Από ένα CSR, εξάγει το subject, το δημόσιο κλειδί και τυχόν Subject Alternative Names που ζητούνται μέσω του χαρακτηριστικού επέκτασης PKCS#9 extensionRequest. Ένα γνήσιο αποτύπωμα SHA-256 των ακριβών DER bytes υπολογίζεται με το εγγενές Web Crypto API του browser και εμφανίζεται με διαχωρισμό άνω και κάτω τελείας, την ίδια μορφή που χρησιμοποιούν οι περισσότεροι πίνακες ελέγχου CA και η έξοδος του openssl.

Ένα πράγμα που αυτό το εργαλείο σκόπιμα δεν κάνει: επαλήθευση της αλυσίδας εμπιστοσύνης ή έλεγχο της κατάστασης ανάκλησης. Η επιβεβαίωση ότι ένα πιστοποιητικό είναι υπογεγραμμένο από μια έμπιστη ρίζα, ότι δεν έχει λήξει σε όλη την αλυσίδα ή ότι δεν έχει ανακληθεί μέσω OCSP ή CRL απαιτεί επικοινωνία με μια ζωντανή αρχή πιστοποίησης ή έναν ανταποκριτή OCSP μέσω δικτύου — και αυτού του είδους οι εξερχόμενες αιτήσεις δεν έχουν θέση σε έναν offline, privacy-first αποκωδικοποιητή. Αυτό το εργαλείο σας λέει ακριβώς τι υπάρχει μέσα στο πιστοποιητικό ή το CSR που επικολλήσατε· δεν εκφέρει γνώμη για το αν πρέπει να το εμπιστευτείτε.