Certifikatafkoder
Læs et X.509-certifikat eller en kæde på op til 10 certifikater i PEM- eller base64 DER-format. For hvert certifikat viser afkoderen subject, issuer, serienummer, gyldighedsdatoer med resterende dage, offentlig nøgle, signaturalgoritme, alternative subject-navne, nøglebrug, begrænsninger, CRL- og OCSP-placeringer, SHA-256- og SHA-1-fingeraftryk samt SPKI-pinnen. Den kontrollerer også, om certifikatet er selvsigneret eller signeret af det næste certifikat.
Ofte stillede spørgsmål
Hvilke inputformater kan afkoderen læse?
Indsæt en eller flere PEM-blokke, der begynder med -----BEGIN CERTIFICATE-----, som dem, der findes i .pem-, .crt- og fullchain-filer, eller et enkelt certifikat som base64 DER uden headere. Op til 10 certifikater afkodes i den rækkefølge, du indsætter dem.
Hvordan beregnes status?
Afkoderen sammenligner det aktuelle tidspunkt med datoerne notBefore og notAfter og angiver, om certifikatet er gyldigt, udløbet eller endnu ikke gyldigt, samt hvor mange hele dage der er tilbage eller er gået. Datoerne vises i UTC i formatet ISO 8601.
Hvad betyder det, at certifikatet er signeret af det næste?
I en kæde verificeres hvert certifikats signatur med den offentlige nøgle i det efterfølgende certifikat. Sådan ordnes et bladcertifikat, et mellemliggende certifikat og et rodcertifikat. Et nej betyder, at rækkefølgen er forkert, eller at kæden er ufuldstændig. Dette er kun en signaturkontrol, ikke en fuld validering af certifikatstien mod et tillidslager, tilbagekaldelse eller navnebegrænsninger.
Hvordan registreres et selvsigneret certifikat?
Et certifikat regnes for selvsigneret, når dets issuer er lig med dets subject, og signaturen kan verificeres med dets egen offentlige nøgle. Rodcertifikater er selvsignerede, ligesom mange testcertifikater og interne certifikater.
Hvilke fingeraftryk vises?
SHA-256- og SHA-1-fingeraftrykkene er hashes af hele det DER-kodede certifikat, vist som hexadecimale par med store bogstaver adskilt af kolon. Det er de samme værdier, som browsere og openssl x509 -fingerprint viser. SHA-256 er det, du bør sammenligne, fordi SHA-1 ikke længere er kollisionsresistent.
Hvad bruges SPKI-pinnen til?
Det er hashværdien SHA-256 i base64-format for certifikatets SubjectPublicKeyInfo. Værdien bruges af HTTP-pinning af offentlige nøgler, Androids netværkssikkerhedskonfiguration og mange mobile pinning-biblioteker. Den forbliver den samme, når et certifikat fornyes med den samme nøgle.
Hvilke udvidelser forklares?
Alternative subject- og issuer-navne, nøglebrug, udvidet nøglebrug, grundlæggende begrænsninger med stiens længde, subject- og authority-nøgleidentifikatorer, CRL-distributionspunkter, authority-information-adgang med OCSP- og CA-issuer-URL'er samt certifikatpolitikker med CA/Browser Forum-markører for DV, OV, IV og EV. Andre udvidelser angives med navn eller objektidentifikator.
Hvordan får jeg et websteds certifikat?
Kør openssl s_client -connect example.com:443 -showcerts, og kopiér PEM-blokkene fra outputtet, eller eksportér certifikatet fra din browsers certifikatfremviser. SSL Certificate Checker kan også slå et websteds certifikat op for dig.
Gemmes certifikatet?
Nej. Certifikater afkodes i hukommelsen til din anmodning og logges eller gemmes aldrig. Certifikater indeholder kun offentlige data, så indsæt aldrig den tilhørende private nøgle her.
Hvad er grænserne?
Inputtet må være op til 131,072 tegn langt og indeholde højst 10 certifikater. OpenSSLs TRUSTED CERTIFICATE-blokke kan ikke læses, så konvertér dem først med openssl x509 -in cert.pem -out plain.pem.