CSR デコーダー（証明書署名要求の確認）

証明書署名要求を CA に送る前、または誰かから送られてきたときには、実際に何を求めているのかを確認する価値があります。このデコーダーは、PEM または Base64 の CSR を読み取り、サブジェクト、サブジェクト代替名、鍵の種類とサイズ、署名アルゴリズム、要求された拡張を表示します。リクエストの自己署名を Web Crypto API で検証し、弱い鍵、SHA-1、SAN の欠落、SAN に含まれない CN について警告します。

使い方

1. BEGIN と END の行を含めて CSR を貼り付けます。
2. サブジェクトと SAN の行を読み、すべてのホスト名が含まれているか確認します。
3. 鍵が最低でも RSA 2048 または ECDSA P-256 で、署名が有効であることを確認します。
4. 公開鍵のハッシュを自分の秘密鍵と比較し、対になっていることを確かめます。

計算式

Signature check: verify(signature, publicKey from the CSR, DER of CertificationRequestInfo) with the algorithm named in signatureAlgorithm.

有効な自己署名は、そのリクエストが秘密鍵の持ち主によって作られ、その後変更されていないことの証明です。内容が真実かどうかは示さず、それは CA が別に確認します。

計算例

www.example.com 向けの ECDSA リクエストでは、EC P-256（256 ビット）、ECDSA と SHA-256、SAN の DNS:www.example.com、DNS:example.com、IP Address:192.0.2.1、email:admin@example.com が表示され、署名: 有効 になります。Base64 の署名を 1 文字変えるだけで結果は無効になり、openssl req -verify が失敗を報告するのと同じです。