Formáty certifikátů

V souvislosti s SSL certifikáty je zmiňován poměrně velký počet názvů jako PEM, CSR, KEY, DER atp. Jedná se o soubory, které jsou prakticky pouze "schránky" pro umístění certifikátu a jeho klíčů. Velké množství formátů vzniklo postupně díky různé implementaci v operačních systémech nebo aplikacích, některé byly standardizovány v RFC.

CSR (.csr)

Certificate Signing Request (CSR) je žádost o certifikát, která se předává certifikační autoritě k ocertifikování. Žádost lze generovat přímo na serveru, v aplikaci OpenSSL nebo si ji můžete po objednání SSL certifikátu jednoduše vygenerovat v detailu objednávky dle tohoto návodu včetně privátního klíče. Formát žádosti je podle PKCS #10 (Public Key Cryptography Standards) a je definován v dokumentu RFC 2986 (Certification Request Syntax Specification). CSR žádost v sobě obsahuje potřebné informace k vystavení certifikátu. Tedy název domény, organizaci, stát a také veřejný klíč, který certifikační autorita potvrzuje. Formát kódování žádosti CSR, která se vkládá do objednávky a odesílá certifikační autoritě je PEM. Struktura informací v žádosti je definována pomocí ASN.1 (abstraktní syntaxové notace).
Po vystavení a podepsání certifikátu certifikační autoritou je již certifikát dodáván od autority v jiných formátech, například CRT, p7b. Často je také rovnou zasílán e-mailem v txt formátu PEM, současně s informací o vystavení SSL certifikátu.

Žádost o certifikát a privátní klíč nedoporučujeme vytvářet na neznámých stránkách on-line. V naší nápovědě publikujeme návod jak generovat CSR a privátní klíč v OpenSSL.

PEM (.pem)

Jeden z nejpoužívanějších formátů pro uložení SSL/TLS certifikátů. Jedná se o kontejner pro uchovávání textově kódovaných kryptografických dat (klíčů a certifikátů) a umožňuje snadné odesílání elektronickou poštou, je definován v RFC 1421 až 1424. Může obsahovat samostatný veřejný certifikát, ale také veřejný certifikát plus certifikáty CA nebo může obsahovat celý soubor certifikátů včetně veřejného klíče, soukromého klíče a kořenových certifikátů vystavující certifikační autority. Ve formátu PEM se také dodává žádost o certifikaci CSR (Certificate Signing) Request), která se přenášejí z formátu PKCS10.
Název vznikl ze zkratky Privacy-enhanced Electronic Mail (PEM), což byl standard pro zabezpečení elektronické pošty. Hlavní podstatou PEM formátu je překódování binárního formátu (tedy jednotek a nul) metodou base64 a přidání informativní hlavičky a patičky typu ----- BEGIN PRIVATE KEY ----- a ----- END PRIVATE KEY ----- nebo ----- BEGIN CERTIFICATE ----- a ----- END CERTIFICATE -----.

Ukázka vystaveného certifikátu ve formátu PEM

Tento textový řetězec si můžete dekódovat například na stránce decoder, kde zjistíte spoustu informací o certifikátu (platnost, informace v certifikátu, autorita a mnoho dalšího).

Soubory PEM jsou zakódovány v Base64 formátu, což je kódování, které převádí binární data na posloupnost tisknutelných ASCII znaků (64 prvková sada znaků tvořená velkými i malými písmeny anglické abecedy, číslicemi a znaky plus (+) a lomítko (/). Se soubory PEM se velmi jednoduše pracuje, neboť mají obsah v čitelném textovém formátu a lze je otevřít v jakémkoli editoru. Jednotlivé certifikáty jsou pak jednoznačně odděleny hlavičkou a patičkou. Více o PEM formátu ve WIKI...

PFX (.pfx) / PKCS #12 formát

.pfx, ale také .p12 nebo .pkcs12 jsou formáty definované v Public-Key Cryptography Standards (PKCS) standardy). Jedná se o formát kontejneru s heslem, který obsahuje veřejné i privátní certifikáty. Na rozdíl od souborů PEM je kontejner plně šifrován. PKCS #12 byl původně soukromý standard společnosti Microsoft, který byl později definován v RFC 7292. Poskytuje vylepšenou bezpečnost oproti textovému formátu PEM.
S PFX formátem se setkáme především na Windows platformě. Pokud není generována žádost o certifikaci přímo v IIS (Internet Information System) je nutné dodat administrátorovi serveru certifikát ve formátu PFX pro import na server. Pro tyto případy publikujeme v pomocníkovi návod jak exportovat certifikát do PFX pomocí OpenSSL .
Do souboru .pfx se také exportují Code Signing certifikáty a elektronický podpis.

KEY (.key)

V souboru .key se nachází certifikát ve formátu PEM a obsahuje pouze soukromý klíč certifikátu. Privátní klíč je zavřený v řetězcích ----- BEGIN PRIVATE KEY ----- a----- END PRIVATE KEY -----. Tento soubor by měl jít otevřít v jakémkoli textovém editoru.
Pro .key formát není standardizace a jedná se defakto o označení souboru s privátním klíčem.

DER (.der)

DER (Distinguished Encoding Rules). Binární soubor (řetězec nul a jednotek), který obsahuje uložené informace o certifikátu. Obsahuje SSL certifikát či celou cestu root-chain (intermediate certifikáty) a může obsahovat také privátní klíč. Je používán v Unixovém světě nebo na Java platformách, ve Windows je soubor .der automaticky považován za nositele certifikátů. DER je defakto binární verze PEM souboru kódovaného base64.

CRT (.crt)

Soubor .crt obsahuje SSL certifkát ve formátu PEM. Lze je otevřít jakýmkoli textovým editorem a certifikát je uzavřen ve značkách ----- BEGIN CERTIFICATE ----- a----- END CERTIFICATE -----.
V OS Windows se při poklepání na soubor a odsouhlasení varování, automaticky otevře okno s detailem certifikátu. Pokud přejmenujete soubor .crt na .txt, poklepáním se otevře textový editor s obsahem ve formátu PEM.

PB7 (.pb7)

Formát PB7 obsahuje veřejný klíč a mezistanici certifikáty (intermediate) od certifikační autority. Neobsahuje privátní klíč. Formát P7B/PKCS #7 je uložen ve formátu Base64 ASCII a soubor má příponu .p7b nebo .p7c. Definováno v RFC 2315 jako PKCS číslo 7. Formát používaný systémem Windows. Java využívá .keystore. U těchto kontejnerů lze definovat hierarchii certifikátů.

Další typy souborů a formátů

CER (.cer), CERT (.cert)

Jde o jinou příponu souborů typu PEM.

CRL

Certificate Revocation List (CRL) - seznam zrušených certifikátů. Certifikační autority v těchto seznamech publikují seznamy zrušených certifikátů.

RFC 7468

V navrhovaném standardu RFC 7468 (Textual Encodings of PKIX, PKCS, and CMS Structures) je popisované a standardizované textové kódování PKI (Public-Key Infrastructure X.509), PKCS (Public-Key Cryptography Standards) a CMS (Cryptographic Message Syntax).

Kam dál?

Zpět na Nápovědu
Našli jste chybu nebo něčemu nerozumíte? Napište nám!

SSLmentor

PEM, PFX, KEY, ...