Dekoder certyfikatów
Odczytaj certyfikat X.509 lub łańcuch zawierający maksymalnie 10 certyfikatów w formacie PEM albo base64 DER. Dla każdego certyfikatu dekoder wyświetla podmiot, wystawcę, numer seryjny, daty ważności wraz z liczbą pozostałych dni, klucz publiczny, algorytm podpisu, alternatywne nazwy podmiotu, użycie klucza, ograniczenia, lokalizacje CRL i OCSP, odciski SHA-256 i SHA-1 oraz pin SPKI, a także sprawdza, czy certyfikat jest samopodpisany lub podpisany przez następny certyfikat.
Najczęściej zadawane pytania
Jakie formaty danych wejściowych odczytuje dekoder?
Wklej jeden lub więcej bloków PEM rozpoczynających się od -----BEGIN CERTIFICATE-----, takich jak w plikach .pem, .crt i fullchain, albo pojedynczy certyfikat w formacie base64 DER bez nagłówków. Dekodowanych jest maksymalnie 10 certyfikatów, w kolejności ich wklejenia.
Jak obliczany jest status?
Dekoder porównuje bieżący czas z datami notBefore i notAfter i informuje, czy certyfikat jest ważny, wygasł czy jeszcze nie jest ważny, podając liczbę pełnych dni pozostałych lub minionych. Daty są wyświetlane w formacie UTC, jako ISO 8601.
Co oznacza informacja „podpisany przez następny certyfikat”?
W przypadku łańcucha podpis każdego certyfikatu jest weryfikowany za pomocą klucza publicznego następnego certyfikatu, co określa kolejność certyfikatu końcowego, pośredniego i głównego. Odpowiedź „nie” oznacza, że kolejność jest nieprawidłowa lub łańcuch jest niekompletny. To wyłącznie sprawdzenie podpisu, a nie pełna walidacja ścieżki względem magazynu zaufanych certyfikatów, unieważnień czy ograniczeń nazw.
Jak wykrywany jest certyfikat samopodpisany?
Certyfikat uznaje się za samopodpisany, gdy jego wystawca jest taki sam jak podmiot, a podpis można zweryfikować przy użyciu jego własnego klucza publicznego. Certyfikaty główne są samopodpisane, podobnie jak wiele certyfikatów testowych i wewnętrznych.
Które odciski są wyświetlane?
Odciski SHA-256 i SHA-1 to skróty całego certyfikatu zakodowanego w DER, zapisane jako pary wielkich liter szesnastkowych oddzielone dwukropkami. Są to te same wartości, które wyświetlają przeglądarki i polecenie openssl x509 -fingerprint. Do porównań należy używać SHA-256, ponieważ SHA-1 nie jest już odporne na kolizje.
Do czego służy pin SPKI?
To skrót SHA-256 w formacie base64, obliczony dla SubjectPublicKeyInfo certyfikatu. Wartość ta jest używana przez przypinanie kluczy publicznych HTTP, konfigurację zabezpieczeń sieciowych Androida i wiele bibliotek mobilnych do przypinania kluczy. Pozostaje taka sama po odnowieniu certyfikatu z użyciem tego samego klucza.
Które rozszerzenia są objaśniane?
Alternatywne nazwy podmiotu i wystawcy, użycie klucza, rozszerzone użycie klucza, ograniczenia podstawowe z długością ścieżki, identyfikatory klucza podmiotu i wystawcy, punkty dystrybucji CRL, dostęp do informacji o wystawcy z adresami URL OCSP i CA oraz polityki certyfikatów ze znacznikami CA/Browser Forum DV, OV, IV i EV. Pozostałe rozszerzenia są wymienione według nazwy lub identyfikatora obiektu.
Jak uzyskać certyfikat witryny?
Uruchom openssl s_client -connect example.com:443 -showcerts i skopiuj bloki PEM z wyniku albo wyeksportuj certyfikat z przeglądarkowej przeglądarki certyfikatów. SSL Certificate Checker może też wyszukać certyfikat witryny.
Czy certyfikat jest przechowywany?
Nie. Certyfikaty są dekodowane w pamięci na potrzeby Twojego żądania i nigdy nie są rejestrowane ani zapisywane. Certyfikaty zawierają wyłącznie dane publiczne, więc nigdy nie wklejaj tutaj odpowiadającego im klucza prywatnego.
Jakie obowiązują limity?
Dane wejściowe mogą mieć do 131,072 znaków i zawierać maksymalnie 10 certyfikatów. Bloki OpenSSL TRUSTED CERTIFICATE nie są odczytywane, dlatego najpierw przekonwertuj je poleceniem openssl x509 -in cert.pem -out plain.pem.