Tanúsítvány- és CSR-dekódoló (X.509 / PKCS#10)

A tanúsítványok és a tanúsítványkérések sűrű, binárisan kódolt dokumentumok – ha valaki egy véletlenszerű online dekódolóba másolja őket, azzal egy idegen szerverre bízza a belső hosztneveit, a szervezete hivatalos nevét vagy azt a nyilvános kulcsot, amelyet hamarosan egy hitelesítésszolgáltatóhoz küld. Ez az eszköz X.509 tanúsítványokat és PKCS#10 CSR-okat teljes egészében a böngészőlapján belül dekódol: a PEM-szöveg helyben base64-dekódolásra kerül nyers DER bájtokká, majd egy valódi ASN.1 tag-length-value elemző mezőről mezőre bejárja, és soha nem kerül továbbításra sehová.

A motorháztető alatt ez nem regex-trükk vagy sablonmegoldás – ez egy valódi olvasó az RFC 5280 (X.509) és az RFC 2986 (PKCS#10) szerinti DER kódolási szabályokhoz: minden címkebájtot beolvas, dekódolja a rövid és hosszú formájú hosszúságokat, rekurzívan belép a SEQUENCE és SET konstrukciókba, és dekódolja az olyan primitív típusokat, mint az INTEGER, a BIT STRING, az OCTET STRING és az OBJECT IDENTIFIER. Az objektumazonosítókat nyers bájtokból pontozott jelöléssé alakítja, és ismert értékekkel hasonlítja össze, így a kimenet ember által olvasható címkéket mutat, mint például CN, O és C a névmezőkhöz, valamint RSA vagy EC a nyilvános kulcs algoritmusához, nem pedig számtengert.

Egy tanúsítványból az eszköz kinyeri a verziót, a sorozatszámot, a kiállító és a tárgy megkülönböztetett neveit, a notBefore/notAfter érvényességi dátumokat (egyszerű érvényes/lejárt/még nem érvényes státusszal), a nyilvános kulcs algoritmusát és méretét – az RSA modulus bitszámát vagy a megnevezett EC görbét –, és ha jelen van, a Subject Alternative Name kiterjesztést, amely felsorolja a tanúsítvány által lefedett összes DNS-nevet, IP-címet, e-mailt vagy URI-t. Egy CSR-ból az eszköz kinyeri a tárgyat, a nyilvános kulcsot és a PKCS#9 extensionRequest attribútumon keresztül kért Subject Alternative Name-eket. A pontos DER bájtok valódi SHA-256 ujjlenyomatát a böngésző natív Web Crypto API-jával számítja ki, és kettősponttal elválasztva jeleníti meg, ugyanabban a formátumban, amit a legtöbb CA-irányítópult és az openssl kimenete használ.

Amit ez az eszköz szándékosan nem tesz: ellenőrzi a bizalmi láncot vagy a visszavonási állapotot. Annak megerősítése, hogy egy tanúsítványt egy megbízható gyökér írt alá, nem járt le a láncban, vagy nem vonták vissza OCSP-n vagy CRL-en keresztül, élő hitelesítésszolgáltató vagy OCSP-kezelő elérését igényli a hálózaton – és az ilyen kimenő kéréseknek nincs helyük egy offline, privacy-first dekódolóban. Ez az eszköz pontosan megmondja, mi van a beillesztett tanúsítványban vagy CSR-ban; nem tesz állítást arról, hogy megbízhat-e benne.