Bộ giải mã chứng chỉ & CSR (X.509 / PKCS#10)

Chứng chỉ và yêu cầu ký chứng chỉ là các tài liệu dày đặc, được mã hóa nhị phân — dán một tài liệu vào bộ giải mã trực tuyến ngẫu nhiên có nghĩa là tin tưởng vào máy chủ của người lạ với một tệp có thể chứa tên máy chủ nội bộ, tên hợp pháp của tổ chức của bạn hoặc khóa chung mà bạn sắp gửi cho cơ quan cấp chứng chỉ. Công cụ này giải mã hoàn toàn chứng chỉ X.509 và CSR PKCS#10 bên trong tab trình duyệt của bạn: văn bản PEM được giải mã base64 thành byte DER thô cục bộ, đi từng trường bằng trình phân tích cú pháp giá trị độ dài thẻ ASN.1 chính hãng và không bao giờ được truyền đi bất cứ đâu.

Về cơ bản, đây không phải là thủ thuật biểu thức chính quy hay mẫu đóng hộp — nó là một trình đọc thực sự cho các quy tắc mã hóa DER được xác định trong RFC 5280 (X.509) và RFC 2986 (PKCS#10): nó đọc từng byte thẻ, giải mã độ dài dạng ngắn và dạng dài, đệ quy thành các cấu trúc SEQUENCE và SET, đồng thời giải mã các kiểu nguyên thủy như INTEGER, BIT STRING, OCTET STRING và OBJECT NHẬN DẠNG. Mã định danh đối tượng được chuyển đổi từ byte thô thành ký hiệu chấm và khớp với các giá trị phổ biến, do đó, đầu ra hiển thị các nhãn mà con người có thể đọc được như CN, O và C cho các trường tên và RSA hoặc EC cho thuật toán khóa chung, thay vì một dãy số.

Từ chứng chỉ, công cụ sẽ trích xuất phiên bản, số sê-ri, tên phân biệt của nhà phát hành và chủ đề, không phảiTrước/khôngSau ngày hiệu lực (với trạng thái hợp lệ/hết hạn/chưa hợp lệ bằng ngôn ngữ đơn giản), kích thước và thuật toán khóa công khai — độ dài bit mô-đun RSA hoặc đường cong EC được đặt tên — và, khi có, phần mở rộng Tên thay thế chủ đề liệt kê mọi tên DNS, địa chỉ IP, email hoặc URI mà chứng chỉ bao gồm. Từ CSR, nó trích xuất chủ đề, khóa chung và bất kỳ Tên thay thế chủ đề nào được yêu cầu thông qua thuộc tính yêu cầu mở rộng PKCS#9. Dấu vân tay SHA-256 chính hãng của các byte DER chính xác được tính toán bằng API Web Crypto gốc của trình duyệt và hiển thị được phân tách bằng dấu hai chấm, cùng định dạng mà hầu hết các trang tổng quan CA và đầu ra openssl đều sử dụng.

Một điều mà công cụ này cố tình không làm: xác minh chuỗi tin cậy hoặc kiểm tra trạng thái thu hồi. Việc xác nhận rằng chứng chỉ được ký bởi một gốc đáng tin cậy, chưa hết hạn trong chuỗi hoặc chưa bị thu hồi qua OCSP hoặc CRL yêu cầu phải liên hệ với cơ quan cấp chứng chỉ trực tiếp hoặc cơ quan phản hồi OCSP qua mạng — và loại yêu cầu gửi đi đó không có chỗ trong bộ giải mã ngoại tuyến, ưu tiên quyền riêng tư. Công cụ này cho bạn biết chính xác nội dung bên trong chứng chỉ hoặc CSR mà bạn đã dán; nó không đưa ra yêu cầu nào về việc bạn có nên tin tưởng nó hay không.