PEM-certificaat (.pem)
IETF StandaardPrivacy-Enhanced Mail (PEM) is een veelgebruikte op tekst gebaseerde codering voor cryptografische objecten, waaronder certificaten en privésleutels, met Base64-gegevens verpakt in gelabelde '-----BEGIN...-----' en '-----END...-----' grenzen.
CRT naar PEM converteren
Gratis CRT-naar-PEM-converter in uw browser. Converteer bestanden direct op uw apparaat.
Inspecteren en metadata
Besturingssystemen en bestandsanalysators herkennen PEM-bestanden aan de hand van de eerste binaire bytesequentie:
Bestandshandtekening op byteniveau (magic bytes)
Besturingssystemen en bestandsanalysators herkennen PEM-bestanden aan de hand van de eerste binaire bytesequentie:
HEX-HANDTEKENING (OFFSET 0):
2D 2D 2D 2D 2D 42 45 47 49 4EASCII-WEERGAVE: -----BEGIN
Standaardisatie: IETF RFC 7468 / RFC 1421
Technische specificaties
| Containerarchitectuur | Base64-container met ASCII-armor, begrensd door '-----BEGIN [LABEL]-----' en '-----END [LABEL]-----', waarin binaire DER-structuren zijn ingekapseld |
| Compressie | Niet-gecomprimeerd tekstformaat |
| Bytevolgorde (endianness) | ASCII- of UTF-8-tekststroom |
| Kleurruimten | N.v.t. (cryptografische container) |
| Kanalen en structuur | Certificaten, privésleutels (RSA/EC/DSA), CSR's, openbare sleutels en lijsten van ingetrokken certificaten |
| Maximale afmetingen | Onbegrensde tekststroom (ondersteunt meerdere gekoppelde certificaten) |
| Transparantie | Envelop in platte tekst met ASCII-armor |
| Streaming en progressief | Sequentiële extractie per banner |
Technische vergelijkingsmatrix: PEM versus concurrenten
| Technisch kenmerk | PEM (Huidig) | DER | P12 | CRT |
|---|---|---|---|---|
| Tekst versus binair | Menselijk leesbare Base64-tekst | Alleen onbewerkte binaire bytes | Versleuteld binair archief | Meestal Base64-tekst |
| Cloud- en DevOps-gebruik | Vaak gebruikt in AWS- en Kubernetes-workflows; ondersteunde omgevingen variëren | Hardwaretokens / Java | Import voor Windows IIS-server | Webserverconfiguraties |
| Toegestane inhoud | Certificaten, privésleutels, ketens, CSR's | Enkel certificaat of sleutel | Gebundeld certificaat + versleutelde sleutel | Meestal alleen openbare certificaten |
| Kopieerbaar en plakbaar | Ja (plak rechtstreeks in tekstvakken) | Nee (binair) | Nee (binair) | Ja (indien PEM-gecodeerd) |
Veelvoorkomende beschadigingen en gids voor hex-herstel
OpenSSL-fout: 'PEM_read_bio: no start line'.
Oorzaak: Ontbrekende of beschadigde '-----BEGIN ...-----' headerbanner, of beschadiging door Windows CRLF-regeleinden.
Herstel: Herstel de standaard headerbanner met 5 streepjes via de certificaattool van File2File.app.
Beveiligingsanalyse en aanvalsvectoren voor parsers
PEM-bestanden bevatten vaak onversleutelde privésleutels ('-----BEGIN RSA PRIVATE KEY-----') die volledige servertoegang verlenen indien deze worden blootgesteld.
Bekende aanvalsvectoren
- Onversleutelde PEM-privésleutels committeren aan openbare versiebeheeropslagplaatsen.
- Directory traversal-aanvallen die serversleutels in PEM-formaat lezen via local file inclusion (LFI).
- Zwakke wachtwoorden op versleutelde PEM-bestanden met privésleutels.
Aanbevolen beveiligingspraktijken: Beveilig PEM-bestanden met privésleutels met strikte bestandssysteemrechten (chmod 600) en zet ze nooit in git.
Historische oorsprong en mijlpalen
Belangrijkste voordelen
- Menselijk leesbaar en te kopiëren en te plakken: kan worden gekopieerd naar webformulieren, cloudconsole-invoer (AWS, GCP) en e-mail.
- Vaak gebruikt door tools en platforms zoals OpenSSL, Linux-services, Docker, Kubernetes en cloudsystemen; ondersteunde formaten verschillen per onderdeel.
- Ondersteuning voor meerdere certificaten: maakt het mogelijk om volledige certificaatvertrouwensketens op te slaan in één tekstbestand door blokken te stapelen.
Technische beperkingen
- Ongeveer 33% groter dan onbewerkte binaire DER vanwege de overhead van Base64-codering.
- Accidentele corruptie: regelafbrekingen of ontbrekende streepjes in banners kunnen verwerkingsfouten veroorzaken.
- Niet-versleutelde PEM-bestanden met privésleutels vormen extreme veiligheidsrisico's als ze lekken.
Interessante technische weetjes
- Hoewel het is ontwikkeld voor een versleuteld e-mailsysteem dat nooit breed werd gebruikt, werd de ASCII-armor ervan het populairste beveiligingsformaat ter wereld.
- Elk geldig PEM-bestand begint met vijf streepjes: '-----BEGIN'.
- Een volledige SSL-certificaatketen wordt eenvoudig gemaakt door meerdere 'BEGIN CERTIFICATE'-blokken achter elkaar te plakken in één .pem-bestand.
Veelgestelde technische vragen
Wat is een .pem-bestand?
Een .pem-bestand is een op tekst gebaseerd formaat voor het opslaan van beveiligingscertificaten, privésleutels of hele certificaatketens in een leesbaar Base64-formaat met '-----BEGIN...-----'-banners.
Hoe kan ik PEM converteren naar P12 of PFX?
U kunt uw PEM-certificaat en privésleutel met één klik omzetten naar een met een wachtwoord beveiligd P12/PFX-bestand via File2File.app rechtstreeks in uw webbrowser.
Hoe kan ik de vervaldatum van een PEM-certificaat controleren?
Open uw .pem-bestand in File2File.app om de vervaldatum, uitgever en domeinnamen te decoderen zonder gegevens naar externe servers te verzenden.
Gerelateerde conversieparen voor PEM
Door een binair CRT-beveiligingscertificaat te converteren naar een met Base64 gecodeerd PEM-tekstformaat, kunnen Apache, Nginx en moderne Linux-webservers het certificaat lezen.
Door een PEM-tekstcertificaat te converteren naar een binair CRT-certificaat, kunnen Apache-servers en Windows-systemen uw webbeveiligingsgegevens correct lezen.
Het converteren van een PKCS #12-bundel naar een PEM-certificaat pakt uw openbare sleutel en privésleutel uit een beveiligd binair archief naar platte tekstbestanden voor webservers.
Het converteren van een PEM-certificaat naar een PKCS #12-bundel combineert uw openbare certificaat en privésleutel in één met een wachtwoord beveiligd bestand, zodat u dit eenvoudig kunt installeren op Windows-servers en in webbrowsers.
Het converteren van een binair DER-certificaat naar een PEM-certificaat verandert de codering van ruwe binaire bytes naar Base64-gecodeerde ASCII-tekst, zodat webservers en teksteditors het gemakkelijk kunnen lezen.
Door een binair CER-beveiligingscertificaat te converteren naar een PEM-tekstbestand met Base64-codering kunnen beheerders beveiligingssleutels eenvoudig lezen en invoegen in webserver- en applicatieconfiguraties.