PEM сертификат (.pem)
IETF СтандартPrivacy-Enhanced Mail (PEM) е широко използван текстов формат за криптографски обекти, включително сертификати и частни ключове. Той използва Base64 данни, оградени с маркери '-----BEGIN...-----' и '-----END...-----'.
Конвертиране от CRT към PEM
Безплатен конвертор от CRT към PEM в браузъра. Конвертирайте файлове незабавно на вашето устройство.
Проверка и метаданни
Операционните системи и файловите анализатори идентифицират PEM файлове чрез проверка на началната двоична байтова последователност:
Байтов подпис на заглавката (сигнатурни байтове)
Операционните системи и файловите анализатори идентифицират PEM файлове чрез проверка на началната двоична байтова последователност:
HEX ПОДПИС (ОФСЕТ 0):
2D 2D 2D 2D 2D 42 45 47 49 4EASCII ПРЕДСТАВЯНЕ: -----BEGIN
Стандартизация: IETF RFC 7468 / RFC 1421
Технически спецификации
| Контейнерна архитектура | Контейнер с Base64 ASCII текст, ограден с '-----BEGIN [LABEL]-----' и '-----END [LABEL]-----', който съдържа двоични структури DER |
| Компресия | Некомпресиран текстов формат |
| Поредност на байтовете (Endianness) | Текстов поток ASCII / UTF-8 |
| Цветови пространства | Не се прилага (криптографски контейнер) |
| Канали и структура | Сертификати, частни ключове (RSA/EC/DSA), CSR заявки за подписване на сертификат, публични ключове и списъци с оттеглени сертификати (CRL) |
| Максимални размери | Неограничен текстов поток (поддържа няколко свързани сертификата) |
| Прозрачност | Четлив ASCII контейнер с текстови маркери |
| Поточно предаване и прогресивно зареждане | Последователно извличане на блоковете един по един |
Техническа сравнителна матрица: PEM спрямо конкуренти
| Технически атрибут | PEM (Текущ) | DER | P12 | CRT |
|---|---|---|---|---|
| Текст срещу двоичен файл | Четим Base64 текст | Само сурови двоични байтове | Криптиран двоичен архив | Обикновено Base64 текст |
| Използване в облак и DevOps | Използва се често в работни процеси с AWS и Kubernetes; поддръжката варира според средата. | Хардуерни токени / Java | Импортиране на сървър за Windows IIS | Конфигурации на уеб сървър |
| Разрешено съдържание | Сертификати, частни ключове, вериги, CSR | Един сертификат или ключ | Сертификат в пакет с криптиран ключ | Обикновено само публични сертификати |
| Възможност за копиране и поставяне | Да (може да се постави директно в текстови полета) | Не (двоичен файл) | Не (двоичен файл) | Да (ако е кодиран в PEM) |
Често срещани видове повреди и ръководство за възстановяване на шестнадесетични данни
Грешка на OpenSSL: 'PEM_read_bio: no start line'.
Първопричина: Липсващ или повреден заглавен банер '-----BEGIN ...-----' или повредени CRLF знаци за нов ред в Windows.
Възстановяване: Възстановете стандартния заглавен банер с 5 тирета с помощта на инструмента за сертификати File2File.app.
Анализ на сигурността и вектори на атака към парсера
PEM файловете често съдържат некриптирани частни ключове ('-----BEGIN RSA PRIVATE KEY-----'), които дават пълен достъп до сървъра, ако бъдат изложени.
Известни вектори на атака
- Добавяне на некриптирани PEM частни ключове в публични хранилища за управление на версиите.
- Атаки с обхождане на директории за четене на PEM ключове на сървъра чрез локално включване на файлове (LFI).
- Слаби пароли на криптирани PEM файлове с частни ключове.
Най-добри практики за защита: Защитете PEM файловете с частни ключове със строги разрешения на файловата система (chmod 600) и никога не ги добавяйте в git.
Исторически произход и етапи
Основни предимства
- Четим за хора и позволяващ копиране и поставяне: може да се копира в уеб формуляри, полета за въвеждане в облачни конзоли (AWS, GCP) и имейли.
- Използва се широко от инструменти и платформи като OpenSSL, Linux услуги, Docker, Kubernetes и облачни системи; поддържаните формати зависят от компонента.
- Поддръжка на множество сертификати: позволява съхраняване на пълни вериги на доверие на сертификати в един текстов файл чрез подреждане на блокове.
Технически ограничения и минуси
- Приблизително 33% по-голям от суровия двоичен DER поради допълнителния обем при кодиране в Base64.
- Случайно повреждане: промените в пренасянето на редове или липсващите тирета в банерите могат да доведат до грешки при анализ.
- Некриптираните PEM файлове с частни ключове представляват изключителни рискове за сигурността, ако бъдат изтекли.
Интересни технически факти
- Въпреки че е създаден за система за криптирана електронна поща, която не успява да набере популярност, ASCII кодирането му с текстови маркери се превръща в най-популярния формат за сигурност в света.
- Всеки валиден PEM файл започва с пет тирета: '-----BEGIN'.
- Пълна верига от SSL сертификати се създава просто чрез поставяне на множество блокове 'BEGIN CERTIFICATE' един след друг в един .pem файл.
Често задавани технически въпроси
Какво представлява .pem файлът?
.pem файлът е текстов формат за съхранение на сертификати за сигурност, частни ключове или цели вериги от сертификати в четим Base64 формат с банери '-----BEGIN...-----'.
Как да конвертирам PEM в P12 или PFX?
Можете да конвертирате вашия PEM сертификат и частен ключ в защитен с парола P12/PFX файл с едно кликване, като използвате File2File.app директно във вашия уеб браузър.
Как мога да проверя датата на изтичане на PEM сертификат?
Отворете вашия .pem файл във File2File.app, за да декодирате датата на изтичане, издателя и имената на домейните, без да изпращате никакви данни към външни сървъри.
Свързани двойки за конвертиране на PEM
Конвертирането на сертификат CRT от двоичен формат в текстов формат PEM с Base64 кодиране осигурява съвместимост с Apache, Nginx и съвременни уеб сървъри на Linux.
Конвертирането на текстов PEM сертификат в двоичен CRT сертификат позволява на Apache сървъри и Windows системи да четат правилно вашите идентификационни данни за уеб сигурност.
Конвертирането на PKCS #12 пакет в PEM сертификат извлича публичния и частния ви ключ от заключен двоичен архив в текстови файлове за уеб сървъри.
Конвертирането на PEM сертификат в PKCS #12 пакет обединява вашия публичен сертификат и частен ключ в един защитен с парола файл за лесно инсталиране на Windows сървъри и уеб браузъри.
Конвертирането на двоичен DER сертификат в PEM сертификат променя кодирането му от сурови двоични байтове в Base64 ASCII текст, така че да може да се чете лесно от уеб сървъри и текстови редактори.
Конвертирането на двоичен CER сертификат за сигурност в Base64 кодиран PEM текстов файл позволява на администраторите лесно да четат и поставят защитни ключове в уеб сървъри и конфигурации на приложения.