เครื่องมือถอดรหัสใบรับรองและ CSR (X.509 / PKCS#10)

ใบรับรองและคำขอลงนามใบรับรองเป็นเอกสารที่หนาแน่นและเข้ารหัสแบบไบนารี — การวางข้อความลงในตัวถอดรหัสออนไลน์แบบสุ่มหมายถึงการไว้วางใจเซิร์ฟเวอร์ของคนแปลกหน้าด้วยไฟล์ที่อาจมีชื่อโฮสต์ภายในของคุณ ชื่อทางกฎหมายขององค์กร หรือกุญแจสาธารณะที่คุณกำลังจะส่งให้ผู้ออกใบรับรอง เครื่องมือนี้ถอดรหัสใบรับรอง X.509 และ CSR PKCS#10 ทั้งหมดภายในแท็บเบราว์เซอร์ของคุณ: ข้อความ PEM จะถูกถอดรหัสจาก base64 เป็นไบต์ DER ดิบภายในเครื่อง เดินทีละฟิลด์ด้วยตัวแยกวิเคราะห์ ASN.1 แบบ tag-length-value ของจริง และไม่เคยถูกส่งไปที่ใดเลย

เบื้องหลังการทำงาน นี่ไม่ใช่เทคนิค regex หรือเทมเพลตสำเร็จรูป — มันคือตัวอ่านจริงสำหรับกฎการเข้ารหัส DER ที่นิยามใน RFC 5280 (X.509) และ RFC 2986 (PKCS#10): มันอ่านแต่ละไบต์แท็ก ถอดรหัสความยาวแบบสั้นและแบบยาว เรียกซ้ำเข้าไปในโครงสร้าง SEQUENCE และ SET และถอดรหัสประเภทพื้นฐานอย่าง INTEGER, BIT STRING, OCTET STRING และ OBJECT IDENTIFIER ตัวระบุวัตถุจะถูกแปลงจากไบต์ดิบเป็นสัญกรณ์จุด และจับคู่กับค่าที่รู้จักกันดี ดังนั้นผลลัพธ์จะแสดงป้ายที่มนุษย์อ่านได้ เช่น CN, O และ C สำหรับฟิลด์ชื่อ และ RSA หรือ EC สำหรับอัลกอริทึมของกุญแจสาธารณะ แทนที่จะเป็นกำแพงตัวเลข

จากใบรับรอง เครื่องมือจะดึงรุ่น, หมายเลขซีเรียล, ชื่อเฉพาะของผู้ออกใบรับรองและหัวเรื่อง, วันที่ notBefore/notAfter (พร้อมสถานะแบบภาษาธรรมดาว่า ใช้ได้/หมดอายุ/ยังไม่ถึงเวลา), อัลกอริทึมและขนาดของกุญแจสาธารณะ — ความยาวบิตโมดูลัส RSA หรือชื่อเส้นโค้ง EC — และเมื่อมี ส่วนขยาย Subject Alternative Name ที่แสดงรายชื่อ DNS, ที่อยู่ IP, อีเมล หรือ URI ทุกรายการที่ใบรับรองครอบคลุม จาก CSR มันจะดึงหัวเรื่อง, กุญแจสาธารณะ และ Subject Alternative Names ใด ๆ ที่ถูกร้องขอผ่านแอตทริบิวต์ extensionRequest ของ PKCS#9 ลายนิ้วมือ SHA-256 ของแท้ของไบต์ DER ที่แน่นอนจะคำนวณด้วย Web Crypto API ดั้งเดิมของเบราว์เซอร์ และแสดงโดยคั่นด้วยเครื่องหมายทวิภาค ซึ่งเป็นรูปแบบเดียวกับที่แดชบอร์ดของ CA ส่วนใหญ่และผลลัพธ์ของ openssl ใช้

สิ่งหนึ่งที่เครื่องมือนี้จงใจไม่ทำ: ตรวจสอบสายความเชื่อถือหรือตรวจสอบสถานะการเพิกถอน การยืนยันว่าใบรับรองลงนามโดยรูทที่เชื่อถือได้ ยังไม่หมดอายุในสาย หรือยังไม่ถูกเพิกถอนผ่าน OCSP หรือ CRL จำเป็นต้องติดต่อผู้ออกใบรับรองหรือผู้ตอบ OCSP ผ่านเครือข่าย — และคำขอขาออกแบบนั้นไม่มีที่ยืนในตัวถอดรหัสออฟไลน์ที่เน้นความเป็นส่วนตัวเป็นอันดับแรก เครื่องมือนี้บอกคุณอย่างแน่ชัดว่ามีอะไรอยู่ภายในใบรับรองหรือ CSR ที่คุณวาง มันไม่อ้างว่าคุณควรไว้วางใจมันหรือไม่