Zertifikat dekodieren (X.509, PEM)

Zertifikat auslesen: was drinsteht

Ein TLS- oder SSL-Zertifikat folgt dem Standard X.509. In Textform liegt es als PEM Zertifikat vor: Base64-Daten zwischen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----. Darin steckt eine Struktur in ASN.1, kodiert nach DER. Dieses Werkzeug liest sie mit einem eigenen Parser aus und zeigt, für wen das Zertifikat gilt (Subject und alternative Namen), wer es ausgestellt hat, wie lange es gültig ist, welchen Schlüssel und welchen Signaturalgorithmus es nutzt und welche Erweiterungen gesetzt sind.

Typische Anlässe, ein Zertifikat zu dekodieren: Sie wollen vor dem Einspielen prüfen, ob alle Domains in den SAN stehen, das Ablaufdatum kontrollieren oder herausfinden, ob die Kette in der richtigen Reihenfolge vorliegt. Den SHA-256-Fingerprint nutzen Sie, um ein Zertifikat eindeutig wiederzuerkennen, etwa beim Certificate Pinning oder beim Vergleich mit openssl x509 -in cert.pem -noout -fingerprint -sha256.

Wollen Sie ein SSL-Zertifikat prüfen, das ein Server ausliefert, holen Sie es mit openssl s_client -connect example.com:443 -servername example.com -showcerts und fügen die PEM-Blöcke hier ein. Das Werkzeug prüft keine Signaturen der Kette und keine Sperrlisten; es zeigt den Inhalt. Ob ein Browser dem Zertifikat vertraut, hängt zusätzlich von der Zertifizierungsstelle und der vollständigen Kette ab.