Декодер CSR

Что показывает декодер

CSR представляет собой структуру ASN.1 (PKCS #10). Декодер читает из неё две вещи:

• Субъект: запрошенные поля различительного имени, как правило страна (C), организация (O), организационная единица (OU), населённый пункт (L), регион (ST) и общее имя (CN).
• Открытый ключ: алгоритм (RSA, EC, DSA) и размер ключа в битах.

Подпись внутри CSR и есть то, что доказывает удостоверяющему центру, что отправитель владеет соответствующим закрытым ключом. Этот декодер её не отображает; удостоверяющий центр проверяет её при обработке запроса.

Пример вывода

Для типичного запроса на доменный сертификат вывод выглядит так:

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

Точные имена атрибутов в субъекте зависят от того, как был создан запрос.

Поля, которые стоит перепроверить

• Общее имя (CN): должно быть основным именем хоста. Современные браузеры игнорируют CN и смотрят только на SAN, но многие удостоверяющие центры по-прежнему требуют действительный CN.
• Альтернативные имена субъекта (SAN): перечислите каждое имя хоста и подстановочный знак, которые будет защищать сертификат. Браузеры сопоставляют по SAN, а не по CN.
• Страна (C): двухбуквенный ISO-код (US, GB, DE), а не полное название. Удостоверяющие центры отклоняют неверные коды.
• Размер ключа: RSA 2048, это минимум; 3072 или 4096 для более высокой безопасности. ECDSA P-256, хорошая современная альтернатива, дающая сертификат меньшего размера.
• Алгоритм подписи: SHA-256 или лучше. SHA-1 давно устарел и будет отклонён.

Об альтернативных именах субъекта (SAN)

Декодер показывает субъект запроса, но не расширение SAN. Браузеры сопоставляют сертификаты по SAN, а не по CN; если сертификат должен покрывать дополнительные имена хостов, включите их при создании запроса, например:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Когда декодер не может разобрать CSR

Самые частые причины: обрезанный или повреждённый PEM-блок:

• Обрезанный текст: вставьте полный блок заново, включая оба маркера.
• Вставленные переносы строк: вставьте блок точно в том виде, в каком он был создан.
• Неверное содержимое: открытый ключ, сертификат или закрытый ключ, вставленные по ошибке, не разберутся как CSR.

Генерация соответствующего ключа

CSR всегда генерируется вместе с закрытым ключом. Типичная команда:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

Или для алгоритма ECDSA:

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

Берегите закрытый ключ: в случае его утечки сертификат необходимо отозвать.