Trình giải mã Chứng chỉ & CSR (X.509 / PKCS#10)

Chứng chỉ và yêu cầu ký chứng chỉ là các tài liệu mã hóa nhị phân dày đặc — dán chúng vào một bộ giải mã trực tuyến ngẫu nhiên đồng nghĩa với việc tin tưởng máy chủ của người lạ với tệp có thể chứa tên máy nội bộ, tên pháp lý của tổ chức bạn, hoặc khóa công khai bạn sắp gửi cho tổ chức phát hành chứng chỉ. Công cụ này giải mã chứng chỉ X.509 và CSR PKCS#10 hoàn toàn trong tab trình duyệt của bạn: văn bản PEM được giải mã base64 thành byte DER thô cục bộ, duyệt từng trường bằng bộ phân tích ASN.1 tag-length-value thực sự, và không bao giờ truyền đi đâu.

Bên dưới, đây không phải là mẹo regex hay mẫu có sẵn — nó thực sự là một bộ đọc cho các quy tắc mã hóa DER được định nghĩa trong RFC 5280 (X.509) và RFC 2986 (PKCS#10): nó đọc từng byte thẻ, giải mã độ dài dạng ngắn và dạng dài, đệ quy vào các cấu trúc SEQUENCE và SET, và giải mã các kiểu nguyên thủy như INTEGER, BIT STRING, OCTET STRING và OBJECT IDENTIFIER. Các định danh đối tượng được chuyển đổi từ byte thô sang ký hiệu dấu chấm và đối chiếu với các giá trị đã biết, vì vậy đầu ra hiển thị nhãn dễ đọc như CN, O và C cho các trường tên, và RSA hoặc EC cho thuật toán khóa công khai, thay vì một loạt các con số.

Từ một chứng chỉ, công cụ trích xuất phiên bản, số sê-ri, tên phân biệt của tổ chức phát hành và chủ thể, ngày hiệu lực notBefore/notAfter (với trạng thái bằng ngôn ngữ thường: hợp lệ/hết hạn/chưa có hiệu lực), thuật toán và kích thước khóa công khai — độ dài bit mô-đun RSA hoặc đường cong EC được đặt tên — và khi có, phần mở rộng Tên thay thế chủ thể liệt kê mọi tên DNS, địa chỉ IP, email hoặc URI mà chứng chỉ bao phủ. Từ một CSR, nó trích xuất chủ thể, khóa công khai và bất kỳ Tên thay thế chủ thể nào được yêu cầu thông qua thuộc tính extensionRequest của PKCS#9. Dấu vân tay SHA-256 thực sự của chính xác byte DER được tính bằng Web Crypto API gốc của trình duyệt và hiển thị phân cách bằng dấu hai chấm, cùng định dạng mà hầu hết bảng điều khiển CA và đầu ra openssl sử dụng.

Một điều mà công cụ này cố ý không làm: xác minh chuỗi tin cậy hoặc kiểm tra trạng thái thu hồi. Việc xác nhận rằng chứng chỉ được ký bởi gốc tin cậy, không hết hạn trong chuỗi, hoặc chưa bị thu hồi qua OCSP hoặc CRL đòi hỏi phải liên hệ với tổ chức phát hành chứng chỉ trực tiếp hoặc bộ phản hồi OCSP qua mạng — và loại yêu cầu đi ra ngoài đó không có chỗ trong một bộ giải mã ngoại tuyến, ưu tiên quyền riêng tư. Công cụ này cho bạn biết chính xác nội dung bên trong chứng chỉ hoặc CSR bạn đã dán; nó không đưa ra tuyên bố nào về việc bạn có nên tin tưởng nó hay không.