PEM-in-DER-Konverter (Zertifikate und Schlüssel)

So wandeln Sie PEM in DER um

1. Fügen Sie den PEM-Block in die Eingabe ein oder legen Sie eine .pem-, .crt-, .key- oder .csr-Datei ab.
2. Wählen Sie die Ausgabe unter Umwandeln in:
   • DER – Base64 in einer Zeile: der PEM-Inhalt ohne Kopfzeilen und Zeilenumbrüche, fertig für ein JSON-Feld oder eine Umgebungsvariable.
   • DER – Hex: dieselben Bytes als Hex, für Byte-Arrays und Protokoll-Mitschnitte.
   • PEM (64 Spalten) und Öffentlicher Schlüssel (PEM) gibt es für die Gegenrichtung und zum Extrahieren eines öffentlichen Schlüssels.
3. Klicken Sie .der herunterladen, um die Binärdatei zu speichern, oder Ausgabe kopieren für die Textform.

Der Konverter erkennt Zertifikate, CSRs, CRLs, öffentliche und private Schlüssel (PKCS#1, PKCS#8, SEC1 EC), Sie müssen also keinen Eingabetyp wählen.

Was die Umwandlung macht

PEM ist eine Texthülle um DER. Nehmen Sie dieses Zertifikat (gekürzt):

-----BEGIN CERTIFICATE-----
MIIBtzCCAV2gAwIBAgIUfX6gOa1S96OttEsj3WbuIdu0cE0wCgYIKoZIzj0EAwIw
...
-----END CERTIFICATE-----

Entfernen Sie die beiden Markierungszeilen, fügen Sie die übrigen Zeilen zusammen und dekodieren Sie das Base64, und Sie haben die DER-Datei: hier 443 Bytes, beginnend mit 30 82 01 b7, dem Header einer ASN.1-SEQUENCE. Das Label in den Markierungszeilen ist die einzige Information, die verloren geht. DER-Dateien tragen kein Label, deshalb müssen Tools, die DER lesen, entweder gesagt bekommen, was die Datei ist, oder es aus ihrer Struktur erraten.

Wo Sie DER brauchen

• Embedded-Geräte und Firmware: Zertifikate, die als Byte-Array in C einkompiliert werden, sind fast immer DER. Nutzen Sie die Hex-Ausgabe und fügen Sie sie in ein Array ein.
• Apple-Plattformen: SecCertificateCreateWithData nimmt DER-Daten an, keinen PEM-Text.
• Der Parameter x5c eines JWK und das Element <ds:X509Certificate> in SAML-Metadaten enthalten Base64-DER ohne PEM-Kopfzeilen.
• CA-Issuers-URLs in Zertifikaten liefern meist eine DER-Datei .cer.
• Windows: .cer-Dateien können in beiden Formen vorliegen, aber manche älteren Importdialoge und Appliances akzeptieren nur DER.

PEM in DER mit OpenSSL, Python und certutil

openssl x509 -in cert.pem -outform der -out cert.der
openssl req  -in app.csr  -outform der -out app.der
openssl pkey -in key.pem  -outform der -out key.der
grep -v -- '-----' cert.pem | tr -d '\n'

Die letzte Zeile gibt das einzeilige Base64-DER einer Datei mit einem einzigen Zertifikat aus. In Python liefert ssl.PEM_cert_to_DER_cert(open("cert.pem").read()) die DER-Bytes eines Zertifikats. Unter Windows entfernt certutil -decode cert.pem cert.der die Markierungen und dekodiert. Mehr unter Base64 mit OpenSSL und Base64 in Python.

Häufige Probleme

• Mehrere Blöcke in einer Datei: Die Textausgaben wandeln jeden Block um, aber .der herunterladen speichert nur das erste Objekt, weil eine DER-Datei genau eines enthält. Teilen Sie die Kette vorher auf, oder laden Sie jedes Zertifikat über seine Karte im Zertifikat-Decoder herunter.
• -----BEGIN ENCRYPTED PRIVATE KEY-----: wird problemlos umgewandelt, aber das DER bleibt verschlüsselt. Zum Entschlüsseln braucht man das Passwort, und das geschieht hier nicht.
• Header Proc-Type: 4,ENCRYPTED: Die alte OpenSSL-Verschlüsselung hat keine DER-Form. Führen Sie zuerst mit dem Passwort openssl pkey -in key.pem -out plain.pem aus.
• -----BEGIN OPENSSH PRIVATE KEY-----: ist überhaupt kein ASN.1, es gibt also kein DER zu erzeugen. Für den öffentlichen Schlüssel nutzen Sie das SSH-Schlüssel-Tool.

Häufige Fragen