[Tool]: PFX in a Box – Zertifikate im Blick behalten

Veröffentlicht: 24. Juni 2014 in IT-Security
Schlagwörter:, , ,

„◾Durchblick gewinnen. – Man verschiebt die Grenze der Intransparenz.“ – Prof. Dr. phil. habil. Rainer Kohlmayer

Spätestens wer seine Steuererklärung in Deutschland an das Finanzamt übermitteln möchte und hierbei aufgefordert wird dies doch bitte elektronisch zu erledigen, der wird (sofern er das nicht durch einen Steuerberater erledigen lässt), irgendwann an dem Punkt sein, wo er bei ELSTER ein entsprechendes Zertifikat anfordern muss.

Dieses Zertifikat (eigentlich sind es mehrere) kommt in einem Container daher, welcher die Dateiendung .PFX aufweist. Nun will ich hier gar nicht so tief ins Detail gehen – weder zu Elster – noch zu den ganzen möglichen Einsatzszenarien für Zertifikate.

Mich hat lediglich schon immer interessiert, wie manche Dinge „ticken“ und funktionieren. Also musste ein PFX-File herhalten und via mmc.exe (Konsolenstamm unter Windows) wurde schnell das Snap-In für Zertifikate eingefügt, damit ich mir mal die installierten Zertifikate genauer ansehen konnte.

Schnell hatte ich die Idee da eine eigenes kleines Tool zu schreiben, mit dem man den Privaten-Key und auch das jeweilige Zertifikat exportieren kann. Das Tool findet ihr hier zum Download (Anwendung auf eigene Gefahr)!

PFXInABox

PfxInABox zeigt euch einige Details zu dem jeweiligen Zertifikat. Die exportierbaren Zertifikate als PEM-String könnt ihr in einer Textdatei abspeichern und ggf. in .cer abspeichern. Voila ihr habt euer Zertifikat aus dem PFX-Container exportiert.
PfxInABox macht bestimmt dem einem oder anderen nicht so versierten Anwender/Admin das Leben deutlich einfacher ;-P

Wenn das Tool euch eine Hilfe ist, dann zieht doch bitte in Erwägung meine Arbeit an solchen Free-Tools mit dem einen oder anderen Bitcoin zu honorieren:

Bitcoin-Adresse: 16Hb8LoQMtSzLBApDc3YFYFSov1vvnntQL

Hier für die Interessierten ein kleiner Überblick (Quelle: serverfault.com):

SSL has been around for long enough you’d think that there would be agreed upon container formats. And you’re right, there are. Too many standards as it happens. So this is what I know, and I’m sure others will chime in.

  • .csr This is a Certificate Signing Request. Some applications can generate these for submission to certificate-authorities. It includes some/all of the key details of the requested certificate such as subject, organization, state, whatnot, as well as the public key of the certificate to get signed. These get signed by the CA and a certificate is returned. The returned certificate is the public certificate, which itself can be in a couple of formats.
  • .pem Defined in RFC’s 1421 through 1424, this is a container format that may include just the public certificate (such as with Apache installs, and CA certificate files /etc/ssl/certs), or may include an entire certificate chain including public key, private key, and root certificates. The name is from Privacy Enhanced Email, a failed method for secure email but the container format it used lives on.
  • .key This is a PEM formatted file containing just the private-key of a specific certificate. In Apache installs, this frequently resides in /etc/ssl/private. The rights on this directory and the certificates is very important, and some programs will refuse to load these certificates if they are set wrong.
  • .pkcs12 .pfx .p12 Originally defined by RSA in the Public-Key Cryptography Standards, the „12“ variant was enhanced by Microsoft. This is a passworded container format that contains both public and private certificate pairs. Unlike .pem files, this container is fully encrypted. Every time I get one I have to google to remember the openssl-fu required to break it into .key and .pem files.

 

A few other formats that show up from time to time:

  • .der A way to encode ASN.1 syntax, a .pem file is just a Base64 encoded .der file. OpenSSL can convert these to .pem. Windows sees these as Certificate files. I’ve only ever run into them in the wild with Novell’s eDirectory certificate authority.
  • .cert .cer A .pem formatted file with a different extension, one that is recognized by Windows Explorer as a certificate, which .pem is not.
  • .crl A certificate revocation list. Certificate Authorities produce these as a way to de-authorize certificates before expiration.

In summary, there are three different ways to present certificates and their components:

  • PEM Governed by RFCs, it’s used preferentially by open-source software. It can have a variety of extensions (.pem, .key, .cer, .cert, more)
  • PKCS12 A private standard that provides enhanced security versus the plain-text PEM format. It’s used preferentially by Windows systems, and can be freely converted to PEM format through use of openssl.
  • DER The parent format of PEM. It’s useful to think of it as a binary version of the base64-encoded PEM file. Not routinely used by anything in common usage.
Advertisements

Eigenen Senf dazu geben

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s