ตัวถอดรหัส CSR

ตัวถอดรหัสแสดงอะไร

CSR เป็นโครงสร้าง ASN.1 (PKCS #10) ตัวถอดรหัสอ่านสองสิ่งจากมัน:

• ผู้ขอ (subject): ช่องข้อมูลชื่อเฉพาะ (Distinguished Name) ที่ถูกขอ โดยทั่วไปคือประเทศ (C) องค์กร (O) หน่วยงานในองค์กร (OU) ท้องที่ (L) จังหวัด (ST) และชื่อทั่วไป (CN)
• กุญแจสาธารณะ: อัลกอริทึม (RSA, EC, DSA) และขนาดคีย์เป็นบิต

ลายเซ็นที่อยู่ใน CSR คือสิ่งที่พิสูจน์ต่อ CA ว่าผู้ส่งคำขอถือกุญแจส่วนตัวที่ตรงกัน ตัวถอดรหัสนี้ไม่แสดงลายเซ็นดังกล่าว CA จะตรวจสอบเมื่อประมวลผลคำขอ

ตัวอย่างผลลัพธ์

สำหรับคำขอใบรับรองโดเมนทั่วไป ผลลัพธ์จะมีลักษณะดังนี้:

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

ชื่อของแอตทริบิวต์ในข้อมูลผู้ขอที่แน่นอนขึ้นอยู่กับวิธีสร้างคำขอ

ช่องข้อมูลสำหรับตรวจสอบซ้ำ

• ชื่อทั่วไป (CN): ควรเป็นชื่อโฮสต์หลัก โดยเบราว์เซอร์รุ่นใหม่จะไม่พิจารณาค่า CN และจะตรวจสอบเฉพาะ SAN เท่านั้น อย่างไรก็ตาม หน่วยงานรับรองหลายแห่งยังคงกำหนดให้ต้องมี CN ที่ถูกต้อง
• ชื่อทางเลือกของซับเจกต์ (SAN): ระบุชื่อโฮสต์ทั้งหมดและไวลด์การ์ดที่ใบรับรองจะคุ้มครอง เบราว์เซอร์จะเปรียบเทียบตาม SAN ไม่ใช่ตาม CN
• ประเทศ (C): รหัส ISO สองตัวอักษร (US, GB, DE) ไม่ใช่ชื่อเต็ม หน่วยงานรับรอง (CA) จะปฏิเสธรหัสที่ผิด
• ขนาดกุญแจ: RSA 2048 เป็นขั้นต่ำ ส่วน 3072 หรือ 4096 ใช้สำหรับความปลอดภัยที่สูงขึ้น ECDSA P-256 เป็นทางเลือกสมัยใหม่ที่ดีและให้ใบรับรองที่มีขนาดเล็กกว่า
• อัลกอริทึมการลงนาม: SHA-256 ขึ้นไป โดย SHA-1 ถูกเลิกใช้มานานแล้วและจะถูกปฏิเสธ

เกี่ยวกับชื่อทางเลือกของซับเจกต์ (SAN)

ตัวถอดรหัสแสดงข้อมูลผู้ขอของคำขอ แต่ไม่แสดงส่วนขยาย SAN เบราว์เซอร์จับคู่ใบรับรองกับ SAN ไม่ใช่ CN ดังนั้นหากใบรับรองต้องครอบคลุมชื่อโฮสต์เพิ่มเติม ให้รวมไว้เมื่อสร้างคำขอ เช่น:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

เมื่อตัวถอดรหัสไม่สามารถแยกวิเคราะห์ CSR ได้

สาเหตุที่พบบ่อยที่สุดคือบล็อก PEM ถูกตัดทอนหรือเสียหาย:

• ข้อความถูกตัด: วางบล็อกเต็มพร้อมเครื่องหมายทั้งสองอีกครั้ง
• มีการแทรกบรรทัดใหม่: วางบล็อกตามที่สร้างขึ้นมาเดิม
• เนื้อหาผิด: กุญแจสาธารณะ ใบรับรอง หรือกุญแจส่วนตัวที่วางผิดพลาดจะไม่ถูกแยกวิเคราะห์เป็น CSR

การสร้างคีย์ที่ตรงกัน

CSR จะถูกสร้างขึ้นพร้อมกับกุญแจส่วนตัวเสมอ คำสั่งทั่วไป:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

หรือสำหรับ ECDSA:

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

โปรดดูแลกุญแจส่วนตัวให้ดี หากกุญแจนี้รั่วไหล ใบรับรองจะต้องถูกเพิกถอน