Γεννήτρια αυτο-υπογεγραμμένων πιστοποιητικών

Η σελίδα δημιουργεί ένα ζεύγος κλειδιών και υπογράφει με αυτό ένα πιστοποιητικό X.509 v3, οπότε το πιστοποιητικό είναι ο δικός του εκδότης. Λαμβάνεται το πιστοποιητικό ως -----BEGIN CERTIFICATE----- και ως ακατέργαστο DER, και το ιδιωτικό κλειδί ως PKCS#8. Είναι το σωστό εργαλείο για διακομιστή ανάπτυξης, εσωτερική συσκευή, εργαστήριο ή πύλη αλληλογραφίας που ελέγχεται και από τις δύο πλευρές — και το λάθος εργαλείο για οτιδήποτε πρέπει να εμπιστευτεί το πρόγραμμα περιήγησης ενός αγνώστου χωρίς προειδοποίηση.
Ένα αυτο-υπογεγραμμένο πιστοποιητικό δεν το εμπιστεύεται τίποτα. Κανένα δημόσιο πρόγραμμα περιήγησης, λειτουργικό σύστημα ή πελάτης αλληλογραφίας δεν θα το δεχτεί μέχρι να εγκατασταθεί ως αξιόπιστη ρίζα σε κάθε μηχάνημα που επικοινωνεί με την υπηρεσία. Αν χρειάζεται πιστοποιητικό που λειτουργεί χωρίς καμία εγκατάσταση, λαμβάνεται από μια αρχή πιστοποίησης — και αν χρειάζεται μόνο αίτημα προς CA, χρησιμοποιείται ο Γεννήτρια CSR.
1. Κλειδί
RSA 2048 bit, signed with SHA-256.
2. Θέμα και εκδότης
Ο εκδότης γράφεται ως αντίγραφο αυτών των πεδίων, κάτι που καθιστά το πιστοποιητικό αυτο-υπογεγραμμένο. Το κοινό όνομα είναι το όνομα που εμφανίζεται στους διαλόγους πιστοποιητικών· αυτό που πράγματι αντιστοιχίζει ο πελάτης είναι τα εναλλακτικά ονόματα θέματος παρακάτω.
3. Εναλλακτικά ονόματα θέματος
απαιτείται τουλάχιστον μία καταχώριση
Μία καταχώριση ανά γραμμή, με προαιρετικό πρόθεμα dns:, ip:, email: ή uri:· μια γυμνή γραμμή είναι όνομα DNS, εκτός αν είναι διεύθυνση όπως η 127.0.0.1, η οποία λαμβάνεται ως διεύθυνση IP. Αφού τα προγράμματα περιήγησης έπαψαν να εξετάζουν το κοινό όνομα, ένα πιστοποιητικό χωρίς τουλάχιστον ένα εναλλακτικό όνομα θέματος απορρίπτεται ευθύς, γι' αυτό η σελίδα απαιτεί ένα.
4. Ισχύς και επεκτάσεις
αρχίζει τώρα, λήγει σε 365 ημέρες
Οποιοδήποτε διάστημα από 1 έως 825 ημέρες. Τα δημόσια αξιόπιστα πιστοποιητικά περιορίζονται σε 200 ημέρες από τις 15 Μαρτίου 2026 (100 ημέρες από το 2027, 47 από το 2029), αλλά ένα αυτο-υπογεγραμμένο πιστοποιητικό δεν καλύπτεται από αυτόν τον κανόνα — εξακολουθεί να είναι καλή συνήθεια να είναι σύντομο, επειδή δεν το ανακαλεί τίποτα αυτόματα.
Ο διακόπτης CA μένει ανενεργός για πιστοποιητικό διακομιστή ή πελάτη. Η ενεργοποίησή του κάνει το πιστοποιητικό ικανό να υπογράφει άλλα πιστοποιητικά, που είναι ο τρόπος δημιουργίας εσωτερικής ιεραρχίας· είναι όμως και ο τρόπος διανομής κλειδιού που μπορεί να υποδυθεί οτιδήποτε εμπιστεύεται η ρίζα, γι' αυτό διατηρείται για μια ρίζα που σκόπιμα κρατείται εκτός σύνδεσης.
Χρήση κλειδιού — για ποιες λειτουργίες επιτρέπεται το κλειδί:
Εκτεταμένη χρήση κλειδιού — οι σκοποί για τους οποίους εκδίδεται το πιστοποιητικό:
5. Δημιουργία
τίποτα δεν έχει δημιουργηθεί ακόμη
Αποτέλεσμα
Δεν έχει δημιουργηθεί τίποτα ακόμη. Συμπλήρωση κοινού ονόματος και τουλάχιστον ενός εναλλακτικού ονόματος θέματος, πάτημα Δημιουργία πιστοποιητικού και κλειδιού, και το πιστοποιητικό και το κλειδί εμφανίζονται εδώ με κουμπιά αποθήκευσης.
Πώς προστίθεται σε αποθήκη εμπιστοσύνης — κάθε μηχάνημα που συνδέεται με την υπηρεσία χρειάζεται αυτό πριν εξαφανιστεί η προειδοποίηση. Τα προγράμματα περιήγησης προειδοποιούν στην πρώτη χρήση μιας νέας αρχής εκ σχεδιασμού, γι' αυτό πρέπει να γνωρίζει κανείς τι εμπιστεύεται πριν συνεχίσει.
Windows (σε επίπεδο μηχανήματος) Άνοιγμα του αρχείου .crt, επιλογή Εγκατάσταση πιστοποιητικού, επιλογή Local Machine, και έπειτα Τοποθέτηση όλων των πιστοποιητικών στην ακόλουθη αποθήκη → Αξιόπιστες βασικές αρχές πιστοποίησης. Από γραμμή εντολών με δικαιώματα διαχειριστή το ίδιο γίνεται με certutil -addstore -f Root mycert.crt, και το certutil -delstore Root mycert.crt το αφαιρεί ξανά.
macOS Διπλό κλικ στο αρχείο για προσθήκη στο keychain σύνδεσης, και έπειτα άνοιγμα της Keychain Access, σύρσιμο στο System, διπλό κλικ σε αυτό, άνοιγμα του Trust και ορισμός του When using this certificate σε Always Trust. Από τη γραμμή εντολών: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Αντιγραφή στο /usr/local/share/ca-certificates/mycert.crt (PEM, και το όνομα πρέπει να τελειώνει σε .crt), και έπειτα εκτέλεση του sudo update-ca-certificates. Αφαιρείται με διαγραφή του αρχείου και νέα εκτέλεση της ίδιας εντολής.
RHEL, Fedora, CentOS Αντιγραφή στο /etc/pki/ca-trust/source/anchors/mycert.crt και εκτέλεση του sudo update-ca-trust.
Firefox Το Firefox διατηρεί τη δική του αποθήκη: Ρυθμίσεις → Απόρρητο & Ασφάλεια → Πιστοποιητικά → Προβολή πιστοποιητικών → Αρχές → Εισαγωγή, και στη συνέχεια επιλογή του Trust this CA to identify websites.
Εφαρμογές Java Εισαγωγή στην αποθήκη εμπιστοσύνης του JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Τι σημαίνουν οι επεκτάσεις. Οι βασικοί περιορισμοί δηλώνουν αν το πιστοποιητικό μπορεί να υπογράφει άλλα πιστοποιητικά· η χρήση κλειδιού περιορίζει τις πράξεις που μπορεί να εκτελεί το κλειδί· η εκτεταμένη χρήση κλειδιού ονομάζει τους σκοπούς για τους οποίους εκδίδεται το πιστοποιητικό, και ένα πιστοποιητικό διακομιστή TLS χρειάζεται τον σκοπό TLS server, αλλιώς οι πελάτες που το ελέγχουν θα το αρνηθούν. Το αναγνωριστικό κλειδιού θέματος είναι κατακερματισμός του δημόσιου κλειδιού, και το αναγνωριστικό κλειδιού εκδότη συνήθως ονομάζει το αντίγραφο του εκδότη — σε ένα αυτο-υπογεγραμμένο πιστοποιητικό και τα δύο φέρουν την ίδια τιμή.

Τι δεν κάνει αυτή η σελίδα: δεν δημιουργεί ιεραρχία πιστοποιητικών, δεν λειτουργεί ως CA και δεν εγκαθιστά τίποτα πουθενά. Δεν υπάρχει λίστα ανάκλησης πίσω από αυτό το πιστοποιητικό: αν διαρρεύσει το κλειδί, τα μόνα μέτρα είναι η αντικατάσταση του αρχείου παντού και η αφαίρεσή του από κάθε αποθήκη εμπιστοσύνης.

Ιδιωτικότητα: το ζεύγος κλειδιών παράγεται από την κρυπτογραφία του ίδιου του προγράμματος περιήγησης και το πιστοποιητικό υπογράφεται εδώ. Καμία μεταφόρτωση, κανένας διακομιστής, κανένα cookie, καμία ανάλυση, και η σελίδα λειτουργεί από τοπικό αρχείο. Για ανεξάρτητη ανάγνωση του αποτελέσματος χρησιμοποιείται ο αποκωδικοποιητής πιστοποιητικών.