JWK-converter
Converteer sleutels tussen PEM en JSON Web Key. Plak een PEM-privésleutel in PKCS #8-, PKCS #1- of SEC1-indeling, een openbare sleutel of een certificaat om de JWK ervan te verkrijgen, of plak een JWK of een JWKS met maximaal 20 sleutels om PKCS #8- en SPKI-PEM terug te krijgen. RSA-, EC-sleutels (P-256, P-384, P-521, secp256k1), Ed25519-, Ed448-, X25519- en X448-sleutels worden ondersteund en elk wordt weergegeven met het type en de RFC 7638-vingerafdruk.
Veelgestelde vragen
Hoe bepaalt de converter welke conversierichting nodig is?
Invoer die begint met { wordt gelezen als een JWK of JWKS en geconverteerd naar PEM. Invoer met een regel -----BEGIN wordt gelezen als PEM en geconverteerd naar JWK. Alle andere invoer wordt geweigerd met een hint over de verwachte indelingen.
Welke PEM-invoer wordt geaccepteerd?
Onversleutelde privésleutels in PKCS #8-indeling (BEGIN PRIVATE KEY), PKCS #1-indeling (BEGIN RSA PRIVATE KEY) en SEC1-indeling (BEGIN EC PRIVATE KEY), openbare sleutels als SPKI (BEGIN PUBLIC KEY) of PKCS #1 (BEGIN RSA PUBLIC KEY), en X.509-certificaten, waarvan de openbare sleutel wordt geconverteerd. Als er meerdere PEM-blokken worden geplakt, wordt de eerste privésleutel gebruikt; anders de eerste openbare sleutel of het eerste certificaat.
Wat krijg ik voor een privésleutel?
Een PEM-privésleutel levert de private JWK met al zijn leden op, zoals d, p, q, dp, dq en qi voor RSA, plus de bijbehorende openbare JWK. Deel alleen de openbare JWK, omdat de private JWK het geheime sleutelmateriaal bevat.
Kan ik een volledige JWKS converteren?
Ja. Plak een document met een keys-array van maximaal 20 sleutels, bijvoorbeeld van een jwks_uri-eindpunt, en elke sleutel wordt naar PEM geconverteerd met de index en kid. Private JWK's, te herkennen aan hun d-lid, leveren zowel de privésleutel in PKCS #8 als de openbare sleutel in SPKI op.
Waarom kan een symmetrische sleutel niet worden geconverteerd?
Sleutels met kty oct zijn gewone geheime bytes voor HMAC of AES en hebben geen PEM-weergave. Gebruik ze rechtstreeks, bijvoorbeeld in de JWT Generator, waar een oct JWK als HMAC-geheim wordt geaccepteerd.
Wat doet de optie kid?
Als deze optie is ingeschakeld, wordt de RFC 7638-vingerafdruk van de sleutel toegevoegd als het kid-lid van de gegenereerde JWK. Zo krijgt de sleutel een stabiele identificatie die verifiers kunnen vergelijken met de kid-header van een JWT.
Wat is de RFC 7638-vingerafdruk?
Dit is een base64url-SHA-256-hash van de vereiste openbare leden van de sleutel in een vaste volgorde, zoals e, kty en n voor RSA of crv, kty, x en y voor EC. Dezelfde sleutel heeft altijd dezelfde vingerafdruk, ongeacht of deze als PEM of JWK is opgeslagen.
Worden versleutelde sleutels of OpenSSH-sleutels ondersteund?
Nee. De wachtwoordzin van versleutelde PEM-sleutels moet eerst worden verwijderd, bijvoorbeeld met openssl pkey -in encrypted.pem -out key.pem. OpenSSH-privésleutels moeten met ssh-keygen naar PEM worden geconverteerd voordat ze hier kunnen worden gelezen.
Welke sleuteltypen werken?
RSA, EC op P-256, P-384, P-521 en secp256k1, en de OKP-typen Ed25519, Ed448, X25519 en X448. DSA- en Diffie-Hellman-sleutels hebben geen JWK-vorm en worden met een toelichting geweigerd.
Wordt mijn privésleutel bewaard?
Nee. De sleutel wordt voor deze aanvraag in het geheugen geconverteerd en wordt nooit gelogd of opgeslagen. Converteer bij voorkeur openbare sleutels online en verwerk privésleutels voor productie alleen op systemen die u zelf beheert.