Сертифікат CRT (.crt)

ITU-T Стандарт

Сертифікат SSL/TLS X.509 (CRT): це стандартне розширення файлу, яке використовується на вебсерверах Linux і Unix (Apache, Nginx) для зберігання відкритого сертифіката, що забезпечує шифрування HTTPS.

Винахідник: Netscape / RSA SecurityРік: 1994MIME: application/x-x509-ca-cert

Конвертувати з CRT у PEM

Безкоштовний конвертер з CRT у PEM у браузері. Миттєво конвертуйте файли на своєму пристрої.

Конвертер з CRT у PEM

Аналіз та метадані

Операційні системи та аналізатори файлів ідентифікують файли CRT, перевіряючи початкову послідовність бінарних байтів:

Виберіть або перетягніть файли сюди

Приватно - файли ніколи не залишають ваш пристрій

або вставте Ctrl+V

Гарантія конфіденційності без передавання даних мережею: Жодного байта не передано на зовнішні сервери. Уся обробка відбувалася локально в ізольованому середовищі браузера.

Сигнатура заголовка на байтовому рівні (Magic Bytes)

ШІСТНАДЦЯТКОВА СИГНАТУРА (ЗСУВ 0):

30 / 2D 2D 2D 2D 2D 42 45 47 49 4E

ПОДАННЯ В ASCII: 0 / -----BEGIN

Стандартизація: ITU-T X.509 / IETF RFC 5280

Технічні характеристики

Архітектура контейнера	Кодування X.509-сертифіката у форматі Base64 PEM або двійковому DER
Стиснення	Криптографічні дані без стиснення
Порядок байтів (Endianness)	Старший байт першим (DER ASN.1)
Колірні простори	Не застосовується (облікові дані безпеки)
Канали та структура	Доменні імена (SAN), відомості про організацію, параметри відкритого ключа, цифровий підпис
Максимальні розміри	Зазвичай від 1 до 5 КБ
Прозорість	Відкритий криптографічний токен
Потокове та прогресивне завантаження	Атомарна перевірка сертифіката

Технічна матриця порівняння: CRT проти конкурентів

Технічний атрибут	CRT (Поточний)	PEM	CER	P12
Конфігурація вебсервера	Стандарт для Nginx / Apache	Сертифікати, ключі або запити	Стандарт для Windows IIS	Стандарт для Tomcat / Java
Типовий вміст	Лише відкритий сертифікат	Сертифікати, ключі або запити	Лише відкритий сертифікат	Зашифрований пакет (сертифікат + ключ)
Формат конверта	Base64 PEM або двійковий DER	Суворий конверт Base64 ASCII	Двійковий DER або PEM	Двійковий архів PKCS #12
Приватний ключ у комплекті	Ні (потребує окремого файлу .key)	Може містити приватний ключ	Ні (лише відкритий)	Так (захищено паролем)

Типові режими пошкодження та посібник з відновлення в шістнадцятковому форматі

Вебсервер не запускається з помилкою 'SSL: error:0906D06C:PEM routines:PEM_read_bio:no start line'.

Першопричина: Відсутній або пошкоджений заголовок '-----BEGIN CERTIFICATE-----' у файлі PEM CRT.

Відновлення: Відновіть дійсні маркери заголовка та нижнього колонтитула PEM за допомогою інструменту File2File.app для роботи із сертифікатами.

Аналіз безпеки та векторів атак на парсери

Сертифікати CRT повинні перевірятися за сховищами кореневих сертифікатів довіри; неперевірені сертифікати створюють ризик атак типу «людина посередині» (MitM).

Відомі вектори атак

Прийняття самопідписаних або прострочених сертифікатів CRT в автоматизованих клієнтах API.
Атаки типу «людина посередині» через недовірені проміжні сертифікати.
Слабкі алгоритми підпису (MD5, SHA-1), вразливі до підробки через колізії.

Рекомендації щодо захисту: Застосовуйте сувору перевірку центру сертифікації та вимагайте підписи SHA-256 або SHA-384.

Історичне походження та віхи

2015Запускається сервіс Let's Encrypt, що автоматизує безплатну видачу сертифікатів CRT по всьому світу.

1995Netscape представляє SSL 2.0, стандартизувавши файли .crt для автентифікації серверів.

1994Netscape Communications розробляє ранні протоколи веббезпеки з використанням сертифікатів X.509.

Основні переваги

Стандарт для Nginx / Apache
Зручний для читання людиною у форматі PEM: його можна переглянути в будь-якому текстовому редакторі для перевірки термінів дії.
Підтримується OpenSSL та всіма криптографічними інструментами командного рядка.

Технічні обмеження та недоліки

Неоднозначне кодування: як і файл CER, файл CRT може бути у форматі ASCII PEM або двійковому форматі DER.
Не може використовуватися на сервері без відповідного приватного ключа (файлу .key).
Вимагає ручного об'єднання проміжних сертифікатів Центру сертифікації для побудови повних ланцюжків довіри.

Цікаві технічні факти

Файл CRT, що починається з '-----BEGIN CERTIFICATE-----', є просто закодованим у Base64 сертифікатом DER.
З моменту запуску у 2015 році Let's Encrypt видав понад 3 мільярди безплатних сертифікатів CRT.
Значок замка в адресному рядку вашого браузера підтверджує, що дійсний сертифікат CRT було успішно перевірено.

Поширені технічні запитання

У чому різниця між .crt та .pem?

.crt зазвичай позначає файл публічного сертифіката, тоді як .pem є універсальним контейнером, що може містити сертифікати, приватні ключі або цілі ланцюжки сертифікатів.

Як конвертувати CRT у PFX або P12 для Windows IIS?

Ви можете об'єднати ваш файл .crt та приватний файл .key у захищений паролем пакет P12/PFX за допомогою File2File.app безпосередньо у вашому веббраузері.

Чи можна переглянути вміст файлу .crt?

Так! Якщо він у форматі PEM, ви можете відкрити його в будь-якому текстовому редакторі або вставити у File2File.app, щоб розкодувати доменне ім'я, видавця та термін дії.

Пов'язані пари конвертації CRT

CRT до PEM

Конвертація бінарного сертифіката безпеки CRT у текстовий формат PEM із кодуванням Base64 робить його сумісним з Apache, Nginx та сучасними вебсерверами на базі Linux.

PEM до CRT

Конвертація текстового сертифіката PEM у бінарний сертифікат CRT дає змогу серверам Apache та системам Windows правильно зчитувати ваші дані для автентифікації на вебсайтах.