Zertifikatsdecoder
Lies ein X.509-Zertifikat oder eine Kette mit bis zu 10 Zertifikaten im PEM- oder base64-DER-Format ein. Für jedes Zertifikat zeigt der Decoder Betreff, Aussteller, Seriennummer, Gültigkeitsdaten mit den verbleibenden Tagen, öffentlichen Schlüssel, Signaturalgorithmus, alternative Namen des Betreffs, Schlüsselverwendung, Einschränkungen, CRL- und OCSP-Adressen, SHA-256- und SHA-1-Fingerabdrücke sowie den SPKI-Pin an. Außerdem prüft er, ob das Zertifikat selbstsigniert oder vom jeweils nächsten signiert ist.
Häufig gestellte Fragen
Welche Eingabeformate kann der Decoder lesen?
Füge einen oder mehrere PEM-Blöcke ein, die mit -----BEGIN CERTIFICATE----- beginnen, wie in .pem-, .crt- und fullchain-Dateien, oder ein einzelnes Zertifikat als base64-DER ohne Header. Es werden bis zu 10 Zertifikate in der Reihenfolge dekodiert, in der du sie einfügst.
Wie wird der Status berechnet?
Der Decoder vergleicht die aktuelle Uhrzeit mit den Daten notBefore und notAfter und meldet, ob das Zertifikat gültig, abgelaufen oder noch nicht gültig ist, einschließlich der Anzahl ganzer verbleibender oder vergangener Tage. Die Daten werden im Format UTC in ISO 8601 angezeigt.
Was bedeutet „vom nächsten Zertifikat signiert“?
Bei einer Zertifikatskette wird die Signatur jedes Zertifikats mit dem öffentlichen Schlüssel des jeweils folgenden Zertifikats überprüft. So werden Leaf-, Zwischen- und Root-Zertifikate angeordnet. Ein „Nein“ bedeutet, dass die Reihenfolge falsch oder die Kette unvollständig ist. Dabei wird nur die Signatur geprüft, keine vollständige Pfadvalidierung anhand eines Truststores, des Widerrufsstatus oder der Namenseinschränkungen.
Wie wird ein selbstsigniertes Zertifikat erkannt?
Ein Zertifikat gilt als selbstsigniert, wenn sein Aussteller mit seinem Betreff übereinstimmt und seine Signatur mit dem eigenen öffentlichen Schlüssel verifiziert werden kann. Root-Zertifikate sind selbstsigniert, ebenso wie viele Test- und interne Zertifikate.
Welche Fingerabdrücke werden angezeigt?
Die Fingerabdrücke SHA-256 und SHA-1 sind Hashes des vollständig DER-kodierten Zertifikats. Sie werden als durch Doppelpunkte getrennte Hexadezimalpaare in Großbuchstaben ausgegeben, genau wie die Werte, die Browser und openssl x509 -fingerprint anzeigen. SHA-256 solltest du zum Vergleichen verwenden, da SHA-1 nicht mehr kollisionsresistent ist.
Wofür wird der SPKI-Pin verwendet?
Er ist der base64-SHA-256-Hash des SubjectPublicKeyInfo des Zertifikats. Dieser Wert wird für das Public-Key-Pinning von HTTP, die Android-Netzwerksicherheitskonfiguration und viele mobile Pinning-Bibliotheken verwendet. Er bleibt gleich, wenn ein Zertifikat mit demselben Schlüssel erneuert wird.
Welche Erweiterungen werden erläutert?
Alternative Namen für Betreff und Aussteller, Schlüsselverwendung, erweiterte Schlüsselverwendung, grundlegende Einschränkungen mit Pfadlänge, Schlüsselkennungen für Betreff und Aussteller, CRL-Verteilungspunkte, Informationen zum Aussteller mit OCSP- und CA-Aussteller-URLs sowie Zertifikatsrichtlinien mit CA/Browser-Forum-Markierungen für DV, OV, IV und EV. Andere Erweiterungen werden mit Namen oder Objektkennung aufgeführt.
Wie erhalte ich das Zertifikat einer Website?
Führe openssl s_client -connect example.com:443 -showcerts aus und kopiere die PEM-Blöcke aus der Ausgabe, oder exportiere das Zertifikat aus der Zertifikatsanzeige deines Browsers. Mit dem SSL Certificate Checker kannst du das Zertifikat einer Website ebenfalls abrufen.
Wird das Zertifikat gespeichert?
Nein. Zertifikate werden für deine Anfrage im Arbeitsspeicher dekodiert und niemals protokolliert oder gespeichert. Zertifikate enthalten nur öffentliche Daten. Füge daher niemals den dazugehörigen privaten Schlüssel hier ein.
Welche Grenzen gelten?
Die Eingabe darf bis zu 131,072 Zeichen umfassen und höchstens 10 Zertifikate enthalten. OpenSSL-TRUSTED-CERTIFICATE-Blöcke werden nicht gelesen. Wandle sie daher zuerst mit openssl x509 -in cert.pem -out plain.pem um.