Dekoder certyfikatów i CSR-ów (X.509 / PKCS#10)

Certyfikaty i żądania podpisania certyfikatów to gęste, binarne dokumenty – wklejenie ich do przypadkowego dekodera online oznacza powierzenie nieznanemu serwerowi pliku, który może zawierać wewnętrzne nazwy hostów, nazwę prawną organizacji lub klucz publiczny, który zamierzasz przesłać do urzędu certyfikacji. To narzędzie dekoduje certyfikaty X.509 i CSR-y PKCS#10 w całości w karcie Twojej przeglądarki: tekst PEM jest dekodowany z base64 do surowych bajtów DER lokalnie, odczytywany pole po polu za pomocą prawdziwego parsera ASN.1 tag-length-value i nigdy nigdzie nie przesyłany.

W środku nie jest to sztuczka regexowa ani gotowy szablon – to rzeczywisty czytnik reguł kodowania DER zdefiniowanych w RFC 5280 (X.509) i RFC 2986 (PKCS#10): odczytuje każdy bajt znacznika, dekoduje długości w formie krótkiej i długiej, zagłębia się w konstrukcje SEQUENCE i SET oraz odczytuje typy proste, takie jak INTEGER, BIT STRING, OCTET STRING i OBJECT IDENTIFIER. Identyfikatory obiektów są przekształcane z surowych bajtów do notacji kropkowej i dopasowywane do znanych wartości, dzięki czemu na wyjściu pojawiają się czytelne etykiety, takie jak CN, O i C dla pól nazwy, oraz RSA lub EC dla algorytmu klucza publicznego – zamiast ciągu liczb.

Z certyfikatu narzędzie wydobywa wersję, numer seryjny, wyróżnione nazwy wystawcy i podmiotu, daty ważności notBefore/notAfter (ze statusem w przystępnym języku: ważny/wygasły/jeszcze nieważny), algorytm i rozmiar klucza publicznego – długość bitową modułu RSA albo nazwaną krzywą EC – oraz, jeśli występuje, rozszerzenie Subject Alternative Name zawierające wszystkie nazwy DNS, adresy IP, e-maile i URI, które certyfikat obejmuje. Z CSR-a wydobywa podmiot, klucz publiczny i wszelkie alternatywne nazwy podmiotu żądane przez atrybut extensionRequest PKCS#9. Autentyczny odcisk SHA-256 dokładnych bajtów DER jest obliczany za pomocą natywnego API Web Crypto przeglądarki i wyświetlany w formacie z dwukropkami, takim samym, jakiego używa większość paneli CA i polecenie openssl.

Jedno, czego to narzędzie celowo nie robi: nie weryfikuje łańcucha zaufania ani nie sprawdza statusu unieważnienia. Potwierdzenie, że certyfikat jest podpisany przez zaufany rdzeń, nie wygasł w górę łańcucha ani nie został unieważniony przez OCSP lub CRL, wymaga skontaktowania się z aktywnym urzędem certyfikacji lub odpowiadaczem OCSP przez sieć – a tego rodzaju żądania wychodzące nie mają miejsca w prywatnym, działającym offline dekoderze. To narzędzie mówi dokładnie, co jest wewnątrz certyfikatu lub CSR-a, który wkleiłeś; nie twierdzi, czy powinieneś mu ufać.