Sertifikaadi ja CSR-dekooder (X.509 / PKCS#10)

Sertifikaadid ja sertifikaadi allkirjastamise taotlused on tihedad, kahendkoodiga kodeeritud dokumendid – ühe juhuslikku võrgudekoodrisse kleepimine tähendab võõra serverile usaldamist failiga, mis võib sisaldada teie sisemisi hostinimesid, teie organisatsiooni juriidilist nime või avalikku võtit, mille kavatsete sertifitseerimisasutusele esitada. See tööriist dekodeerib X.509 sertifikaadid ja PKCS#10 CSR-id täielikult teie brauseri vahekaardil: PEM-tekst dekodeeritakse kohapeal DER-i töötlemata baitideni, väljade kaupa liigutatakse ehtsa ASN.1 sildi pikkuse väärtuse parseriga ja seda ei edastata kunagi kuhugi.

Kapoti all ei ole see regex-trikk ega konserveeritud mall – see on tõeline RFC 5280 (X.509) ja RFC 2986 (PKCS#10) määratletud DER-kodeeringu reeglite lugeja: see loeb iga sildibaiti, dekodeerib lühi- ja pikavormingu pikkused, kordub SEQUENCE-, B-koodide ja sarnaste tüüpideks SEQUENCE, BITTEGER ja sarnased. STRING, OCTET STRING ja OBJEKTI IDENTIFIK. Objekti identifikaatorid teisendatakse töötlemata baitidest punktiirjooneks ja sobitatakse hästi tuntud väärtustega, nii et väljundis kuvatakse numbriseina asemel inimloetavad sildid, nagu CN, O ja C nimeväljade jaoks ning RSA või EC avaliku võtme algoritmi jaoks.

Sertifikaadist ekstraheerib tööriist versiooni, seerianumbri, väljaandja ja subjekti eristavad nimed, mitteBefore/notAfter kehtivuskuupäevad (lihtkeeles kehtiv/aegunud/veel mittekehtiv olekuga), avaliku võtme algoritmi ja suuruse – RSA mooduli bitipikkus või nimega EC kõver – ning olemasolu korral ka iga DNS-i laiendi, URI-nime või iga sertifikaadi alternatiivse nime loendi. kaaned. CSR-ist eraldab see teema, avaliku võtme ja kõik subjekti alternatiivsed nimed, mida taotletakse atribuudi PKCS#9 extensionRequest kaudu. Täpsete DER-baitide ehtne SHA-256 sõrmejälg arvutatakse brauseri loomuliku veebikrüpto API-ga ja kuvatakse kooloniga eraldatuna, samas vormingus enamikus CA armatuurlaudades ja openssl-väljundi kasutamises.

Üks asi, mida see tööriist teadlikult ei tee: kontrollib usaldusahelat või kontrollib tühistamise olekut. Kui soovite kinnitada, et sertifikaadile on alla kirjutanud usaldusväärne juur, see ei ole aegunud ahelas ülespoole või ei ole OCSP või CRL kaudu tühistatud, tuleb võrgu kaudu ühendust võtta reaalajas sertifitseerimisasutuse või OCSP vastajaga – ja sellisel väljamineval päringul pole kohta võrguühenduseta privaatsuspõhistes dekooderis. See tööriist ütleb teile täpselt, mis on teie kleebitud sertifikaadi või CSR-i sees; see ei väida, kas peaksite seda usaldama.