Πιστοποιητικό CRT (.crt)

ITU-T Τυπικό

Το Πιστοποιητικό SSL/TLS X.509 (CRT) είναι η τυπική επέκταση αρχείου που χρησιμοποιείται σε διακομιστές ιστού Linux και Unix (Apache, Nginx) για την αποθήκευση του δημόσιου πιστοποιητικού που ενεργοποιεί την κρυπτογράφηση HTTPS.

Εφευρέτης: Netscape / RSA SecurityΈτος: 1994MIME: application/x-x509-ca-cert

Μετατροπή CRT σε PEM

Δωρεάν μετατροπέας από CRT σε PEM εντός του προγράμματος περιήγησης. Μετατρέψτε αρχεία άμεσα στη συσκευή σας.

Μετατροπέας από CRT σε PEM

Επιθεώρηση & Μεταδεδομένα

Τα λειτουργικά συστήματα και τα εργαλεία ανάλυσης αρχείων αναγνωρίζουν τα αρχεία CRT ελέγχοντας την αρχική δυαδική ακολουθία byte:

Επιλέξτε ή αποθέστε αρχεία εδώ

Ιδιωτικά - τα αρχεία δεν φεύγουν ποτέ από τη συσκευή σας

ή επικόλληση Ctrl+V

Εγγύηση Απορρήτου Μηδενικής Μετάδοσης Δικτύου: Δεν μεταφορτώνεται κανένα byte σε εξωτερικούς διακομιστές. Όλη η επεξεργασία γίνεται τοπικά στο απομονωμένο περιβάλλον του προγράμματος περιήγησής σας.

Υπογραφή κεφαλίδας σε επίπεδο byte (Magic Bytes)

ΔΕΚΑΕΞΑΔΙΚΗ ΥΠΟΓΡΑΦΗ (OFFSET 0):

30 / 2D 2D 2D 2D 2D 42 45 47 49 4E

ΑΝΑΠΑΡΑΣΤΑΣΗ ASCII: 0 / -----BEGIN

Τυποποίηση: ITU-T X.509 / IETF RFC 5280

Τεχνικές Προδιαγραφές

Αρχιτεκτονική Περιέκτη	Κωδικοποίηση ψηφιακού πιστοποιητικού X.509 σε Base64 PEM ή δυαδική μορφή DER
Συμπίεση	Κρυπτογραφικά δεδομένα χωρίς συμπίεση
Σειρά byte (endianness)	Big-Endian (DER ASN.1)
Χρωματικοί Χώροι	N/A (Security Credential)
Κανάλια & Δομή	Ονόματα τομέων (SAN), στοιχεία οργανισμού, παράμετροι δημόσιου κλειδιού, ψηφιακή υπογραφή
Μέγιστες Διαστάσεις	Typically 1 KB to 5 KB
Διαφάνεια	Δημόσιο κρυπτογραφικό διακριτικό
Ροή δεδομένων και προοδευτική φόρτωση	Ατομική επικύρωση πιστοποιητικού

Τεχνικός Πίνακας Σύγκρισης: CRT έναντι Ανταγωνιστών

Τεχνικό χαρακτηριστικό	CRT (Τρέχον)	PEM	CER	P12
Διαμόρφωση διακομιστή ιστού	Πρότυπο για Nginx / Apache	Πιστοποιητικά, κλειδιά ή αιτήματα	Πρότυπο για Windows IIS	Πρότυπο για Tomcat / Java
Τυπικά Περιεχόμενα	Μόνο δημόσιο πιστοποιητικό	Πιστοποιητικά, κλειδιά ή αιτήματα	Μόνο δημόσιο πιστοποιητικό	Κρυπτογραφημένο πακέτο (πιστοποιητικό + κλειδί)
Φάκελος Μορφής	Base64 PEM ή δυαδικό DER	Αυστηρά κωδικοποιημένο σε Base64 ASCII	Δυαδικό DER ή PEM	Δυαδικό αρχείο PKCS #12
Περιλαμβάνεται Ιδιωτικό Κλειδί	Όχι (απαιτεί ξεχωριστό .key)	Μπορεί να περιλαμβάνει ιδιωτικό κλειδί	Όχι (μόνο δημόσιο)	Ναι (προστατεύεται με κωδικό πρόσβασης)

Συνήθεις τρόποι καταστροφής δεδομένων και οδηγός ανάκτησης δεκαεξαδικών δεδομένων

Ο διακομιστής ιστού αποτυγχάνει να ξεκινήσει με το μήνυμα 'SSL: error:0906D06C:PEM routines:PEM_read_bio:no start line'.

Βασική Αιτία: Ελλιπής ή κατεστραμμένη σήμανση επικεφαλίδας '-----BEGIN CERTIFICATE-----' στο αρχείο PEM CRT.

Ανάκτηση: Επαναφορά έγκυρων δεικτών επικεφαλίδας και υποσέλιδου PEM χρησιμοποιώντας το File2File.app Certificate Tool.

Ανάλυση ασφάλειας και διανύσματα επίθεσης στον αναλυτή

Τα πιστοποιητικά CRT πρέπει να επαληθεύονται έναντι αποθηκών αξιόπιστων ριζικών πιστοποιητικών (root trust stores)· τα μη επαληθευμένα πιστοποιητικά ενέχουν κίνδυνο επιθέσεων Man-in-the-Middle (MitM).

Γνωστά διανύσματα επίθεσης

Αποδοχή αυτο-υπογεγραμμένων ή ληγμένων πιστοποιητικών CRT σε αυτοματοποιημένους πελάτες API.
Επιθέσεις Man-in-the-Middle μέσω μη έμπιστων ενδιάμεσων πιστοποιητικών.
Αδύναμοι αλγόριθμοι υπογραφής (MD5, SHA-1) ευάλωτοι σε παραποίηση συγκρούσεων.

Βέλτιστες αμυντικές πρακτικές: Επιβάλετε αυστηρή επικύρωση από την αρχή πιστοποίησης και απαιτήστε υπογραφές SHA-256 ή SHA-384.

Ιστορική Αναδρομή & Ορόσημα

2015Το Let's Encrypt ξεκινά, αυτοματοποιώντας την έκδοση δωρεάν πιστοποιητικών CRT παγκοσμίως.

1995Η Netscape εισάγει το SSL 2.0, τυποποιώντας τα αρχεία .crt για έλεγχο ταυτότητας διακομιστή.

1994Η Netscape Communications σχεδιάζει πρώιμα πρωτόκολλα ασφάλειας ιστού χρησιμοποιώντας πιστοποιητικά X.509.

Κύρια Πλεονεκτήματα

Πρότυπο για Nginx / Apache
Αναγνώσιμο από τον άνθρωπο όταν αποθηκεύεται σε μορφή PEM: μπορεί να προβληθεί σε οποιονδήποτε επεξεργαστή κειμένου για την επαλήθευση των ημερομηνιών λήξης.
Υποστηρίζεται από το OpenSSL και όλα τα εργαλεία κρυπτογραφικής γραμμής εντολών.

Τεχνικοί Περιορισμοί & Μειονεκτήματα

Ασαφής κωδικοποίηση: όπως το CER, μπορεί να μορφοποιηθεί είτε ως ASCII PEM είτε ως δυαδικό DER.
Δεν μπορεί να χρησιμοποιηθεί σε διακομιστή χωρίς το αντίστοιχο ιδιωτικό του κλειδί (αρχείο .key).
Απαιτεί χειροκίνητη συνένωση ενδιάμεσων πιστοποιητικών CA για τη δημιουργία πλήρων αλυσίδων εμπιστοσύνης.

Ενδιαφέροντα Τεχνικά Στοιχεία

Ένα αρχείο CRT που ξεκινά με '-----BEGIN CERTIFICATE-----' είναι απλώς ένα πιστοποιητικό DER κωδικοποιημένο κατά Base64.
Το Let's Encrypt έχει εκδώσει πάνω από 3 δισεκατομμύρια δωρεάν πιστοποιητικά CRT από την έναρξή του το 2015.
Το εικονίδιο λουκέτου στη γραμμή διευθύνσεων του προγράμματος περιήγησής σας επιβεβαιώνει ότι επαληθεύτηκε ένα έγκυρο πιστοποιητικό CRT.

Συχνές Τεχνικές Ερωτήσεις

Ποια είναι η διαφορά μεταξύ .crt και .pem;

Το .crt συνήθως υποδηλώνει ένα αρχείο δημόσιου πιστοποιητικού, ενώ το .pem είναι ένα δοχείο γενικής χρήσης που μπορεί να περιέχει πιστοποιητικά, ιδιωτικά κλειδιά ή ολόκληρες αλυσίδες πιστοποιητικών.

Πώς μπορώ να μετατρέψω το CRT σε PFX ή P12 για τα Windows IIS;

Μπορείτε να συνδυάσετε το αρχείο .crt και το ιδιωτικό αρχείο .key σε ένα προστατευμένο με κωδικό πρόσβασης πακέτο P12/PFX χρησιμοποιώντας το File2File.app απευθείας στο πρόγραμμα περιήγησής σας.

Μπορώ να δω τα περιεχόμενα ενός αρχείου .crt;

Ναι! Εάν είναι σε μορφή PEM, μπορείτε να το ανοίξετε σε οποιονδήποτε επεξεργαστή κειμένου ή να το επικολλήσετε στο File2File.app για να αποκωδικοποιήσετε το όνομα τομέα, τον εκδότη και την ημερομηνία λήξης.

Σχετικά ζεύγη μετατροπής για CRT

CRT σε PEM

Η μετατροπή ενός δυαδικού πιστοποιητικού ασφαλείας CRT σε μορφή κειμένου PEM κωδικοποιημένου κατά Base64 το καθιστά συμβατό με τους διακομιστές ιστού Apache, Nginx και τα σύγχρονα συστήματα Linux.

PEM σε CRT

Η μετατροπή ενός πιστοποιητικού κειμένου PEM σε δυαδικό πιστοποιητικό CRT επιτρέπει στους διακομιστές Apache και στα συστήματα Windows να διαβάζουν σωστά τα διαπιστευτήρια ασφαλείας του ιστότοπού σας.