O que faz

Cole um certificado em PEM, base64 ou hex e a ferramenta o decodifica: o titular e o emissor, a janela de validade, a chave pública e as extensões v3, junto com impressões digitais SHA-256 e SHA-1. Ela analisa o certificado inteiramente no seu navegador e não contata nada.

O que um certificado X.509 contém

Um certificado X.509 vincula uma chave pública a uma identidade, assinado por uma autoridade certificadora. Seu corpo principal, o TBSCertificate ("a ser assinado"), carrega os campos pelos quais a AC responde: a versão e o número de série, os nomes distintos do emissor e do titular, a janela de validade (notBefore e notAfter), a chave pública do titular e um conjunto de extensões; a assinatura da AC sobre esse corpo é o que torna o conjunto confiável. A ferramenta percorre o ASN.1 codificado em DER (a codificação tag-length-value definida pela X.690) transformando-o em campos legíveis, e apresenta os nomes distintos do mais específico ao mais geral, no estilo da RFC 4514.

As extensões v3 que importam

A maior parte do que torna um certificado moderno útil vive em suas extensões v3, e o decodificador destaca as importantes:

  • os Subject Alternative Names, a lista de nomes de host para os quais o certificado é de fato válido (o common name do titular é legado para esse propósito);
  • o Key Usage e o Extended Key Usage, que restringem o que a chave pode fazer, como autenticação de servidor;
  • os Basic Constraints, que dizem se o certificado é uma AC e pode assinar outros;
  • o Authority Information Access, do qual é destacada a localização do respondedor OCSP (RFC 6960); e
  • a extensão TLS Feature, cujo sinalizador status_request é o marcador Must-Staple (RFC 7633).

Para chaves de curva elíptica, a curva nomeada (P-256, P-384 ou P-521) é lida das informações da chave conforme a RFC 5480.

Impressões digitais

Uma impressão digital é um hash dos bytes DER brutos do certificado, e identifica de forma única aquele certificado exato, que é no que o certificate pinning e muitas ferramentas se baseiam para comparar. A ferramenta mostra a impressão digital SHA-256, o padrão atual, e a impressão digital SHA-1, ainda comum em ferramentas mais antigas apesar da fraqueza do SHA-1 quanto a colisões.

Como usar

Cole um certificado em PEM, base64 ou hex e leia seu titular, emissor, validade, chave e extensões, com as duas impressões digitais. A decodificação é determinística; se o certificado está expirado agora é mostrado separadamente, em relação ao relógio do seu dispositivo.