CSRデコーダー
認証局に送信する前に、PKCS #10証明書署名リクエストをデコードします。PEMブロックまたはbase64 DERを貼り付けると、サブジェクト、公開鍵のタイプとサイズ、署名アルゴリズム、リクエストの自己署名が検証できるかどうか、SPKI SHA-256ピン、およびサブジェクト代替名、キー使用法、拡張キー使用法、基本制約などの要求された拡張を確認できます。
よくある質問
証明書署名リクエストとは何ですか？
CSRは、証明書に含めたい公開鍵、サブジェクト名、任意の拡張を格納し、秘密鍵で署名したPKCS #10構造体です。認証局はこれを読み取って証明書を発行します。秘密鍵がサーバーの外に出ることはありません。
どの入力形式に対応していますか？
-----BEGIN CERTIFICATE REQUEST-----または旧形式の-----BEGIN NEW CERTIFICATE REQUEST-----で始まるPEMブロックを貼り付けてください。または、ヘッダーを付けずにbase64でエンコードした生のDERを貼り付けてください。入力内の最初のリクエストのみがデコードされます。
署名チェックで何がわかりますか？
CSRは、その中に含まれる公開鍵に対応する秘密鍵で署名されています。署名が有効であれば、その秘密鍵を持つ人がリクエストを作成し、その後変更されていないことが確認できます。署名が無効な場合は、通常、ファイルが編集または破損されています。
CSRにサブジェクト代替名が表示されないのはなぜですか？
ブラウザーはコモンネームを無視し、サブジェクト代替名拡張に含まれるドメインを必須とします。デコーダーに何も表示されない場合、リクエストにextensionRequest属性が含まれていません。多くの認証局は独自に名前を追加しますが、OpenSSLでは-addext "subjectAltName=DNS:example.com,DNS:www.example.com"を使って追加できます。
SPKIピンとは何ですか？
リクエストのSubjectPublicKeyInfoに対するbase64 SHA-256ハッシュです。このCSRから発行された証明書には同じ公開鍵が含まれるため、同じピンになります。これにより、証明書がご自身のキーに属することを確認できます。
どのキータイプが認識されますか？
RSAリクエストではモジュラスのサイズ、ECリクエストではP-256やP-384などの曲線が表示され、Ed25519とEd448のキーはそのままの名前で表示されます。署名アルゴリズムにはハッシュも表示されます。たとえば、RSASSA-PKCS1-v1_5ではSHA-256、ECDSAではSHA-384が表示されます。
チャレンジパスワードなどの属性は表示されますか？
拡張リクエスト以外の属性は名前で一覧表示されます。チャレンジパスワードは設定済みと表示されますが、その値は結果に出力されません。不明な属性はオブジェクト識別子とともに表示されます。
クリティカル拡張とは何ですか？
criticalとしてマークされた拡張は、証明書を処理するソフトウェアが必ず理解できなければなりません。理解できない場合、証明書は拒否されます。デコーダーはこのような拡張を表示します。基本制約や鍵の用途でよく使われます。
CSRは保存されますか？
いいえ。リクエストはメモリ上でデコードされ、ログに記録されたり保存されたりすることはありません。CSRに含まれるのは公開データのみなので、オンラインでデコードしても秘密鍵が漏れることはありません。
サイズ制限はありますか？
入力できるのは65,536文字までで、一般的なCSRに必要な長さを大幅に上回ります。一般的なRSA 2048リクエストは、PEMで約1,000文字です。