SSL 인증서 파서

인증서 읽는 법

인증서는 세 가지를 하나로 묶습니다: 공개 키, 이름 목록, 유효 기간 — 모두 발급자가 서명한 것입니다. 주체는 인증서가 누구에게 발급되었는지를 말하고, 발급자는 어떤 기관이 서명했는지를 말하는데, 인프라를 물려받을 때 갱신이 숨어 있는 곳이 바로 거기입니다. 일련번호는 이 인증서에 대한 발급자의 고유 식별자로, 기관이 형제 인증서들은 건드리지 않고 하나만 폐지할 때 유용합니다. 서명 알고리즘은 발급자의 서명이 어떻게 만들어졌는지를 알려줍니다. 아직 MD5나 SHA-1에 머물러 있는 것은 은퇴 날짜를 한참 지났으므로 만료 날짜와 무관하게 교체해야 합니다.

유효 기간은 마감 기한이 있는 부분이며, 이 페이지는 그것을 라이브 검사기와 같은 색상으로 남은 일수 셈으로 바꿉니다: 90일을 넘으면 여유, 90일 안쪽이면 호박색, 30일 안쪽이면 빨강, 0을 지나면 분명한 만료입니다. 포함된 이름 목록이야말로 브라우저가 실제로 확인하는 것으로, 일반 이름은 낡은 장식일 뿐이며, 이 목록에서 이름 하나가 빠진 것이 그 밖에는 건강한 사이트에서 브라우저 경고가 뜨는 가장 흔한 원인입니다. SHA-256 지문은 정확한 인증서 바이트에 대한 간결한 식별자입니다: 지문이 같은 두 인증서는 같은 인증서이므로, 손에 든 것을 로그나 공급업체나 동료의 주장과 비교하는 믿을 만한 방법이 됩니다.

파서 대 라이브 검사 대 투명성 로그

세 가지 다른 질문, 세 가지 다른 도구, 그리고 이를 섞으면 실제로 혼란이 생깁니다. "이 파일에 무엇이 들어 있나?"는 이 페이지의 파서입니다 — 오프라인으로, 정확하게, 손에 든 파일로 한정됩니다. "서버가 지금 이 순간 무엇을 제시하나?"는 SSL 검사기로, 진짜 TLS 핸드셰이크를 수행하기 때문에 파일과 다를 수 있습니다: 디스크에서 갱신된 인증서는 서버가 다시 로드되기 전까지 아무 의미가 없습니다. "이 도메인에 대해 지금까지 무엇이 발급되었나?"는 crt.sh 검색으로, 공개 Certificate Transparency 로그를 읽어 다른 두 도구로는 볼 수 없는, 잊힌 발급이나 무단 발급을 드러낼 수 있습니다. 파일을 읽을 때는 파서를, 배포를 검증할 때는 검사기를, 기록을 감사할 때는 로그 검색을 사용하세요 — 그리고 검사기와 파일이 다르면 검사기를 믿으세요. 네 번째 질문은 또 다른 도구의 몫입니다: 여러 파일이 함께 맞물리는지 — 어떤 개인 키가 이 인증서와 맞는지, 체인을 어떤 순서로 제시해야 하는지 — 는 공유 공개 키를 기준으로 인증서, 키, CSR을 묶어 주는 인증서 및 키 매처입니다.

인증서 파싱에는 node-forge를 사용하며, BSD-3-Clause 라이선스를 따릅니다. 온라인 조회는 입력한 도메인을 crt.sh로 보냅니다. PEM 파서 자체는 어떤 네트워크 요청도 하지 않습니다.

자주 묻는 질문