Декодер сертификатов
Просматривайте сертификат X.509 или цепочку длиной до 10 сертификатов в формате PEM или base64 DER. Для каждого сертификата декодер показывает субъект, издателя, серийный номер, сроки действия и количество оставшихся дней, открытый ключ, алгоритм подписи, альтернативные имена субъекта, назначение ключа, ограничения, адреса CRL и OCSP, отпечатки SHA-256 и SHA-1 и закрепление SPKI, а также проверяет, является ли сертификат самоподписанным или подписан следующим сертификатом.
Часто задаваемые вопросы
Какие форматы входных данных читает декодер?
Вставьте один или несколько блоков PEM, начинающихся с -----BEGIN CERTIFICATE-----, как в файлах .pem, .crt и fullchain, или один сертификат в формате base64 DER без заголовков. Декодер обрабатывает до 10 сертификатов в порядке их вставки.
Как определяется статус?
Декодер сравнивает текущее время с датами notBefore и notAfter и сообщает, действителен ли сертификат, истек ли срок его действия или он еще не вступил в силу, а также сколько полных дней осталось до срока или прошло после него. Даты отображаются в формате UTC в виде ISO 8601.
Что означает «подписан следующим сертификатом»?
В цепочке подпись каждого сертификата проверяется с помощью открытого ключа следующего за ним сертификата — так определяется порядок листового, промежуточного и корневого сертификатов. Ответ «нет» означает, что порядок неверен или цепочка неполная. Проверяется только подпись, а не полный путь с учетом хранилища доверенных сертификатов, отзыва или ограничений имен.
Как определяется, что сертификат самоподписанный?
Сертификат считается самоподписанным, если его издатель совпадает с субъектом, а подпись проходит проверку с помощью его собственного открытого ключа. Корневые сертификаты самоподписаны, как и многие тестовые и внутренние сертификаты.
Какие отпечатки показываются?
Отпечатки SHA-256 и SHA-1 — это хеши полного сертификата в кодировке DER, представленные парами шестнадцатеричных цифр в верхнем регистре, разделенными двоеточиями. Это те же значения, которые показывают браузеры и команда openssl x509 -fingerprint. Для сравнения используйте SHA-256, поскольку SHA-1 больше не устойчив к коллизиям.
Для чего используется закрепление SPKI?
Это хеш SHA-256 в формате base64 для SubjectPublicKeyInfo сертификата. Он используется при закреплении открытого ключа HTTP, в конфигурации сетевой безопасности Android и во многих мобильных библиотеках для закрепления ключей. Значение не меняется при продлении сертификата с тем же ключом.
Какие расширения описаны?
Альтернативные имена субъекта и издателя, назначение ключа, расширенное назначение ключа, базовые ограничения с длиной пути, идентификаторы ключа субъекта и центра сертификации, точки распространения CRL, доступ к информации центра сертификации с адресами OCSP и издателей CA, а также политики сертификатов с отметками CA/Browser Forum для DV, OV, IV и EV. Остальные расширения перечислены по имени или идентификатору объекта.
Как получить сертификат веб-сайта?
Выполните openssl s_client -connect example.com:443 -showcerts и скопируйте блоки PEM из вывода или экспортируйте сертификат из просмотрщика сертификатов браузера. SSL Checker также может найти сертификат сайта.
Сохраняется ли сертификат?
Нет. Сертификаты декодируются в памяти для обработки вашего запроса и никогда не записываются в журнал и не сохраняются. Сертификаты содержат только общедоступные данные, поэтому никогда не вставляйте сюда соответствующий закрытый ключ.
Какие есть ограничения?
Входные данные могут содержать до 131,072 символов и не более 10 сертификатов. Блоки OpenSSL TRUSTED CERTIFICATE не читаются, поэтому сначала преобразуйте их с помощью openssl x509 -in cert.pem -out plain.pem.