Конвертер PEM в DER (сертификаты и ключи)

Как конвертировать PEM в DER

1. Вставьте блок PEM в поле ввода или перетащите файл .pem, .crt, .key или .csr.
2. Выберите вид вывода в Конвертировать в:
   • DER – Base64 в одну строку: тело PEM без строк-заголовков и переводов строк, готовое для поля JSON или переменной окружения.
   • DER – hex: те же байты в hex для массивов байтов и трассировок протоколов.
   • PEM (64 колонки) и Открытый ключ (PEM) нужны для обратного направления и для извлечения открытого ключа.
3. Нажмите Скачать .der, чтобы сохранить двоичный файл, или Скопировать результат, чтобы получить текстовый вариант.

Конвертер сам распознаёт сертификаты, CSR, CRL, открытые и закрытые ключи (PKCS#1, PKCS#8, SEC1 EC), так что тип входных данных выбирать не нужно.

Что на самом деле делает конвертация

PEM служит текстовой обёрткой вокруг DER. Возьмём этот сертификат (в сокращении):

-----BEGIN CERTIFICATE-----
MIIBtzCCAV2gAwIBAgIUfX6gOa1S96OttEsj3WbuIdu0cE0wCgYIKoZIzj0EAwIw
...
-----END CERTIFICATE-----

Уберите две строки-маркера, склейте оставшиеся строки, декодируйте Base64, и получится файл DER: здесь это 443 байта, которые начинаются с заголовка ASN.1 SEQUENCE 30 82 01 b7. Теряется только метка в строках-маркерах. У файлов DER метки нет, поэтому программам, которые читают DER, нужно либо сказать, что это за файл, либо угадывать по структуре.

Где нужен DER

• Встраиваемые устройства и прошивки: сертификаты, вкомпилированные в C как массив байтов, почти всегда в DER. Возьмите вывод в hex и вставьте его в массив.
• Платформы Apple: SecCertificateCreateWithData принимает данные DER, а не текст PEM.
• Параметр x5c в JWK и элемент <ds:X509Certificate> в метаданных SAML содержат DER в Base64 без заголовков PEM.
• URL CA Issuers в сертификатах обычно отдают файл .cer в DER.
• Windows: файлы .cer бывают в обеих формах, но некоторые старые диалоги импорта и устройства принимают только DER.

PEM в DER через OpenSSL, Python и certutil

openssl x509 -in cert.pem -outform der -out cert.der
openssl req  -in app.csr  -outform der -out app.der
openssl pkey -in key.pem  -outform der -out key.der
grep -v -- '-----' cert.pem | tr -d '\n'

Последняя строка печатает DER в Base64 одной строкой для файла с одним сертификатом. В Python ssl.PEM_cert_to_DER_cert(open("cert.pem").read()) возвращает байты DER сертификата. В Windows certutil -decode cert.pem cert.der убирает маркеры и декодирует. Подробнее об этом в статьях Base64 в OpenSSL и Base64 в Python.

Частые проблемы

• Несколько блоков в одном файле: текстовые форматы вывода конвертируют все блоки, а Скачать .der сохраняет только первый объект, потому что в файле DER ровно один объект. Сначала разделите цепочку или скачайте каждый сертификат с его карточки в декодере сертификатов.
• -----BEGIN ENCRYPTED PRIVATE KEY-----: конвертируется нормально, но DER остаётся зашифрованным. Для расшифровки нужен пароль, и здесь она не выполняется.
• Заголовки Proc-Type: 4,ENCRYPTED: у устаревшего шифрования OpenSSL нет формы DER. Сначала выполните openssl pkey -in key.pem -out plain.pem с паролем.
• -----BEGIN OPENSSH PRIVATE KEY-----: это вообще не ASN.1, так что DER из него не получить. Для его открытого ключа используйте инструмент для SSH-ключей.

Вопросы и ответы