CSR-decoder

Wat de decoder toont

Een CSR is een ASN.1-structuur (PKCS #10). De decoder leest er twee dingen uit:

• Subject: de gevraagde Distinguished Name-velden, doorgaans land (C), organisatie (O), organisatie-eenheid (OU), plaats (L), provincie (ST) en algemene naam (CN).
• Publieke sleutel: het algoritme (RSA, EC, DSA) en de sleutelgrootte in bits.

De handtekening in de CSR is wat de CA bewijst dat de aanvrager de bijbehorende privésleutel bezit. Deze decoder toont haar niet; de CA verifieert haar wanneer het verzoek wordt verwerkt.

Voorbeeld van uitvoer

Bij een typisch domeingeverifieerd verzoek ziet de uitvoer er zo uit:

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

De exacte attribuutnamen in het subject hangen af van hoe het verzoek is gegenereerd.

Velden om dubbel te controleren

• Algemene naam (CN): moet de primaire hostnaam zijn. Moderne browsers negeren de CN en kijken alleen naar de SAN’s, maar veel CA’s vereisen nog steeds een geldige CN.
• Alternatieve namen van het onderwerp (SAN’s): vermeld elke hostnaam en wildcard die het certificaat zal beveiligen. Browsers vergelijken met de SAN’s, niet met de CN.
• Land (C): een tweeletterige ISO-code (US, GB, DE); geen volledige naam. CA’s wijzen foutieve codes af.
• Sleutelgrootte: RSA 2048 is het minimum; 3072 of 4096 voor hogere beveiliging. ECDSA P-256 is een goed modern alternatief en levert een kleiner certificaat op.
• Handtekeningalgoritme: SHA-256 of beter. SHA-1 is al lang verouderd en wordt afgewezen.

Over de alternatieve namen van het subject (SAN’s)

De decoder toont het subject van het verzoek, maar niet de SAN-extensie. Browsers matchen certificaten tegen de SAN’s en niet tegen de CN. Als het certificaat extra hostnamen moet dekken, neem ze dan op bij het genereren van het verzoek, bijvoorbeeld:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Wanneer de decoder de CSR niet kan ontleden

De meest voorkomende oorzaken zijn een afgekapt of beschadigd PEM-blok:

• Afgekapte tekst: plak het volledige blok opnieuw, inclusief beide markeringen.
• Toegevoegde regeleinden: plak het blok precies zoals het is gegenereerd.
• Verkeerde inhoud: een publieke sleutel, certificaat of privésleutel die per ongeluk is geplakt, wordt niet als CSR ontleed.

Genereren van de passende sleutel

Een CSR wordt altijd gecreëerd samen met een privé sleutel. Typische opdracht:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

Of voor ECDSA:

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

Bescherm de privé sleutel; als deze lekken, moet het certificaat worden ingetrokken.