מפענח אישורים ובקשות CSR‏ (X.509 / PKCS#10)

אישורים ובקשות חתימה על אישורים הם מסמכים דחוסים מקודדים בינארית – הדבקתם במפענח מקוון אקראי משמעה לתת אמון בשרת של זר עם קובץ שעשוי להכיל שמות מארחים פנימיים, השם החוקי של הארגון, או מפתח ציבורי שאתם עומדים להגיש לרשות מאשרת. כלי זה מפענח אישורי X.509 ובקשות CSR של PKCS#10 כולו בתוך לשונית הדפדפן: טקסט ה-PEM מפוענח ל-Base64 לבתי DER גולמיים באופן מקומי, עובר שדה אחר שדה בעזרת מנתח ASN.1 tag-length-value אמיתי, ולעולם אינו מועבר לשום מקום.

מאחורי הקלעים אין כאן טריק regex או תבנית מוכנה מראש – זהו קורא אמיתי לכללי הקידוד DER שהוגדרו ב-RFC 5280 (X.509) וב-RFC 2986 (PKCS#10): הוא קורא כל בית תג, מפענח אורכים בתצורה קצרה וארוכה, נכנס רקורסיבית למבני SEQUENCE ו-SET, ומפענח טיפוסים פרימיטיביים כמו INTEGER, BIT STRING, OCTET STRING ו-OBJECT IDENTIFIER. מזהי אובייקט מומרים מבתים גולמיים לסימון נקודתי ומושווים מול ערכים מוכרים, כך שהפלט מציג תוויות קריאות כמו CN, O ו-C לשדות שם, ו-RSA או EC לאלגוריתם המפתח הציבורי, במקום קיר של מספרים.

מאישור, הכלי מחלץ את הגרסה, המספר הסידורי, שמות הנושא והמנפיק המובחנים, תאריכי תוקף notBefore/notAfter (עם סטטוס בשפה פשוטה: בתוקף / פג תוקף / עדיין לא בתוקף), אלגוריתם המפתח הציבורי וגודלו – אורך מודולוס RSA או עקומת ה-EC בעלת השם – ובמידה שהם קיימים, את הרחבת השם החלופי לנושא (SAN) המפרטת כל שם DNS, כתובת IP, דוא"ל או URI שהאישור מכסה. מבקשת CSR, הוא מחלץ את הנושא, המפתח הציבורי וכל שמות חלופיים לנושא שהתבקשו דרך מאפיין בקשת ההרחבה PKCS#9. טביעת אצבע SHA-256 אמיתית של בתי ה-DER המדויקים מחושבת באמצעות Web Crypto API המקורי של הדפדפן ומוצגת מופרדת בנקודתיים, אותו פורמט שרוב לוחות המחוונים של רשויות מאשרות ופלט openssl משתמשים בו.

דבר אחד שהכלי הזה לא עושה במתכוון: לאמת שרשרת אמון או לבדוק סטטוס שלילה. אימות שאישור חתום על ידי שורש מהימן, שלא פג תוקפו במעלה השרשרת, או שלא נשלל באמצעות OCSP או CRL דורש יצירת קשר עם רשות מאשרת פעילה או מגיב OCSP דרך הרשת – ולבקשה יוצאת כזו אין מקום במפענח לא מקוון ששם את הפרטיות בראש סדר העדיפויות. כלי זה מראה לכם בדיוק מה יש בתוך האישור או בקשת ה-CSR שהדבקתם; הוא לא טוען דבר לגבי השאלה אם עליכם לתת בו אמון.