Certifikát a dekodér CSR (X.509 / PKCS#10)

Certifikáty a žiadosti o podpis certifikátov sú husté, binárne kódované dokumenty – vloženie jedného do náhodného online dekodéra znamená dôverovať cudziemu serveru so súborom, ktorý môže obsahovať vaše interné názvy hostiteľov, právny názov vašej organizácie alebo verejný kľúč, ktorý sa chystáte odovzdať certifikačnej autorite. Tento nástroj dekóduje certifikáty X.509 a PKCS#10 CSR úplne na karte vášho prehliadača: text PEM sa lokálne dekóduje na nespracované bajty DER, prechádza pole po poli s originálnym analyzátorom dĺžky tagu a hodnoty ASN.1 a nikdy sa nikam neprenáša.

Pod kapotou to nie je trik s regulárnym výrazom ani predpripravená šablóna – je to skutočná čítačka pravidiel kódovania DER definovaných v RFC 5280 (X.509) a RFC 2986 (PKCS#10): číta každý bajt značky, dekóduje krátke a dlhé dĺžky, rekurzuje na typy SEQUENCE a dekóduje SET prismTEGER,STRING OCTET STRING a OBJECT IDENTIFIER. Identifikátory objektov sa konvertujú z nespracovaných bajtov do bodkovanej notácie a porovnávajú sa so známymi hodnotami, takže výstup zobrazuje ľudsky čitateľné označenia, ako sú CN, O a C pre polia názvov a RSA alebo EC pre algoritmus verejného kľúča, namiesto steny čísel.

Z certifikátu nástroj extrahuje verziu, sériové číslo, rozlišujúce mená vydavateľa a predmetu, dátumy platnosti nie pred/nie po (so stavom platný/neplatný/neplatný v jednoduchom jazyku), algoritmus a veľkosť verejného kľúča – bitovú dĺžku modulu RSA alebo pomenovanú krivku EC – a ak je k dispozícii, názov alternatívneho názvu subjektu, rozšírenie IP adresy alebo e-mailu, ktorý obsahuje výpis každého certifikátu DNS. Z CSR extrahuje predmet, verejný kľúč a akékoľvek alternatívne názvy subjektu požadované prostredníctvom atribútu PKCS#9 extensionRequest. Originálny odtlačok SHA-256 presných bajtov DER sa vypočíta pomocou natívneho rozhrania Web Crypto API prehliadača a zobrazí sa dvojbodkou oddelené, rovnaký formát, ktorý používa väčšina CA dashboardov a výstup openssl.

Jedna vec, ktorú tento nástroj zámerne nerobí: overuje reťazec dôveryhodnosti alebo kontroluje stav zrušenia. Potvrdenie, že certifikát je podpísaný dôveryhodným koreňovým adresárom, nevypršala platnosť v reťazci alebo nebol odvolaný prostredníctvom OCSP alebo CRL, si vyžaduje kontaktovanie aktívnej certifikačnej autority alebo OCSP respondéra cez sieť – a tento druh odchádzajúcej žiadosti nemá miesto v offline dekodéri s dôrazom na ochranu súkromia. Tento nástroj vám presne povie, čo je vo vnútri certifikátu alebo CSR, ktoré ste prilepili; netvrdí, či by ste mu mali dôverovať.