Zertifikat-Decoder (PEM / X.509)

So dekodieren Sie ein Zertifikat

1. Fügen Sie das Zertifikat in das Feld ein, samt den Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----. Rohes Base64-DER ohne diese Zeilen und ein Hex-Dump, der mit 30 82 beginnt, werden ebenfalls akzeptiert.
2. Oder legen Sie eine .pem-, .crt-, .cer-, .der-, .p7b- oder .crl-Datei im Feld ab. Binäre DER-Dateien funktionieren; Sie müssen sie nicht vorher umwandeln.
3. Lesen Sie die Karte. Jedes Objekt in der Eingabe bekommt eine, ein fullchain.pem mit drei Zertifikaten zeigt also drei Karten.
4. Öffnen Sie unter einer Karte ASN.1-Struktur, wenn Sie den rohen Baum brauchen, etwa um eine Erweiterung zu finden, die die Zusammenfassung unter Weitere Erweiterungen aufführt.

Die Schaltfläche Beispiel lädt ein Demo-Zertifikat, wenn Sie nur das Layout sehen möchten.

Was der Decoder zeigt

Ketten, Bundles und gemischte Dateien

Server senden meist eine Kette: zuerst das Endzertifikat, dann ein oder mehrere Zwischenzertifikate. Fügen Sie das ganze fullchain.pem ein und gehen Sie die Karten durch: Der Aussteller von Karte 1 sollte der Antragsteller von Karte 2 sein, und die AKI-/SKI-Werte sollten genauso zueinander passen. Eine falsche Reihenfolge oder ein fehlendes Zwischenzertifikat ist die übliche Ursache für Fehler wie „unable to get local issuer certificate“ in Clients, die Zwischenzertifikate nicht selbst nachladen.

Auch ein PKCS#7-Bundle (-----BEGIN PKCS7-----, oft .p7b aus Windows oder einem CA-Portal) wird geöffnet, und jedes enthaltene Zertifikat bekommt eine eigene Karte. Sie können in einer Eingabe auch Objekttypen mischen: ein Zertifikat, seinen CSR und seinen privaten Schlüssel. Sind die drei Zeilen SPKI-SHA-256-Pin identisch, gehören Schlüssel, Anforderung und Zertifikat zum selben Schlüsselpaar.

Zertifikatsdaten an den ersten Zeichen erkennen

Ohne die Kopfzeilen ist ein Zertifikat nur Base64 von DER, und DER beginnt immer mit einem SEQUENCE-Byte 0x30. Daraus ergeben sich ein paar Präfixe, die man kennen sollte:

Das vierte Zeichen folgt aus den Längenbytes, deshalb ändert es sich mit der Größe. Weitere Muster finden Sie unter Häufige Base64-Präfixe.

Ein Zertifikat mit OpenSSL dekodieren

Dieselben Felder auf der Kommandozeile:

openssl x509 -in cert.pem -noout -text
openssl x509 -in cert.pem -noout -subject -issuer -dates -ext subjectAltName
openssl x509 -in cert.pem -noout -fingerprint -sha256
openssl x509 -in cert.pem -noout -pubkey | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl base64

Die letzte Zeile gibt den SPKI-Pin aus, und er stimmt mit dem hier angezeigten überein. Um die Kette zu holen, die ein Live-Server sendet, führen Sie openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null aus und fügen die Ausgabe ein: Der Decoder pickt die PEM-Blöcke aus dem umgebenden Text heraus. Weitere Einzeiler stehen auf der Seite zu Base64 mit OpenSSL.

Häufige Probleme

• „Eine —–BEGIN-Zeile gefunden, aber keine passende —–END-Zeile mit demselben Label.“: Die Kopie wurde abgeschnitten. Kopieren Sie erneut oder legen Sie die Datei ab.
• „Weder PEM noch gültiges Base64-DER“: Die Eingabe ist keines von beiden. Typische Ursachen sind eine Binärdatei, die in einem Texteditor geöffnet und eingefügt wurde, oder Base64, das auf dem Weg durch einen Chat- oder Mailclient Zeichen verloren hat.
• „Das ist ein öffentlicher SSH-Schlüssel, kein PEM.“: Zeilen wie ssh-ed25519 AAAA… gehören in das Tool für SSH-Fingerabdrücke. Dasselbe gilt für -----BEGIN OPENSSH PRIVATE KEY-----.
• Fingerabdrücke zeigen „Erfordert eine sichere (https-)Seite“: Die Hashes nutzen die WebCrypto-API des Browsers, die nur unter https oder localhost läuft. Öffnen Sie die Seite über https.
• Eine .pfx- oder .p12-Datei: Der Inhalt von PKCS#12 ist mit dem Exportpasswort verschlüsselt, daher lässt sich nur die äußere Struktur anzeigen. Extrahieren Sie das Zertifikat zuerst mit openssl pkcs12 -in file.pfx -nokeys -out cert.pem.

Häufige Fragen