Dekoder potrdil in CSR (X.509 / PKCS#10)

Potrdila in zahteve za podpisovanje potrdil so gosti, binarno kodirani dokumenti – če jih prilepite v naključni spletni dekoder, pomeni, da strežniku tujca zaupate datoteko, ki lahko vsebuje vaša notranja imena gostiteljev, uradno ime vaše organizacije ali javni ključ, ki ga nameravate predložiti overitelju potrdil. To orodje dekodira potrdila X.509 in PKCS#10 CSR v celoti znotraj zavihka vašega brskalnika: besedilo PEM je lokalno dekodirano z base64 v neobdelane bajte DER, polje za poljem se sprehaja s pristnim razčlenjevalnikom dolžine oznake ASN.1 in se nikoli ne prenese nikamor.

Pod pokrovom to ni trik z regularnimi izrazi ali pripravljena predloga — je pravi bralnik pravil kodiranja DER, opredeljenih v RFC 5280 (X.509) in RFC 2986 (PKCS#10): prebere vsak bajt oznake, dekodira dolžine kratke in dolge oblike, se vrne v konstrukcije SEQUENCE in SET ter dekodira primitivne tipe, kot sta INTEGER, BIT NIZ, NIZ OKTETA in IDENTIFIKATOR OBJEKTA. Identifikatorji objektov se pretvorijo iz neobdelanih bajtov v zapis s pikami in primerjajo z dobro znanimi vrednostmi, tako da izhod namesto stene številk prikazuje človeku berljive oznake, kot so CN, O in C za polja z imeni ter RSA ali EC za algoritem javnega ključa.

Orodje iz potrdila izvleče različico, serijsko številko, izdajatelja in razločevalna imena predmetov, datume veljavnosti notBefore/notAfter (s statusom veljavno/poteklo/še ni veljavno v preprostem jeziku), algoritem javnega ključa in velikost — bitna dolžina modula RSA ali imenovano krivuljo EC — in, če je prisotno, razširitev alternativnega imena subjekta, ki navaja vsako ime DNS, naslov IP, e-pošto ali URI potrdila pokrovi. Iz CSR izvleče predmet, javni ključ in morebitna nadomestna imena subjekta, ki jih zahteva atribut PKCS#9 extensionRequest. Pristen prstni odtis SHA-256 natančnih bajtov DER se izračuna z izvornim API-jem Web Crypto brskalnika in prikaže ločeno z dvopičjem, enak format, ki ga uporablja večina nadzornih plošč CA in izhodnih datotek openssl.

Ene stvari to orodje namenoma ne počne: preveri verigo zaupanja ali preveri stanje preklica. Za potrditev, da je potrdilo podpisal zaupanja vreden koren, da mu ni potekla veljavnost navzgor po verigi ali da ni bilo preklicano prek OCSP ali CRL, je treba vzpostaviti stik z uradom za potrdila v živo ali odzivnikom OCSP prek omrežja – in takšna odhodna zahteva nima mesta v dekoderju brez povezave, ki je na prvem mestu zasebnosti. To orodje vam natančno pove, kaj je znotraj potrdila ali CSR, ki ste ga prilepili; ne trdi, ali bi mu morali zaupati.