CSR-generator

Denne siden lager et nøkkelpar i nettleseren og signerer en PKCS#10-sertifikatforespørsel med det. Det blir to filer til slutt: den private nøkkelen som -----BEGIN PRIVATE KEY----- (PKCS#8) og forespørselen som -----BEGIN CERTIFICATE REQUEST-----, pluss den rå DER-formen som et CA-portal vanligvis ber om. Fyll inn emnefeltene, legg til navnene sertifikatet må dekke, trykk Generer, og lever bare forespørselen til sertifikatutstederen — nøkkelfilen forblir lokal.
1. Nøkkel
RSA 2048 bit, signed with SHA-256.
RSA 2048 godtas overalt og er den trygge standarden. 3072 og 4096 tar lenger tid å generere — på en treg maskin kan RSA 4096 ta noen sekunder, og denne siden viser medgått tid og man kan gå fra resultatet.
2. Emne
Felt man lar stå tomme, utelates helt fra forespørselen. CN er begrenset til 64 tegn, og kommersielle CA-er ignorerer det stadig mer uansett — det de og nettleserne kontrollerer, er de alternative emnenavnene nedenfor.
3. Alternative emnenavn
Én oppføring per linje. En linje uten prefiks behandles som et DNS-navn, så www.example.com og dns:www.example.com betyr det samme; en adresselitteral som 192.0.2.10 tas som en IP-adresse selv uten prefiks. Prefiksene dns:, ip:, email: og uri: gjenkjennes. Jokertegn er bare tillatt som venstremost etikett (*.example.com), fordi nettlesere ignorerer dem ellers.
4. Generer
ingenting generert ennå
Resultat
Ingenting er generert ennå. Fyll inn minst et fellesnavn, trykk Generer nøkkel og forespørsel, så vises den private nøkkelen og forespørselen her med knapper for å lagre dem.
Bruk dette paret til testing, interne tjenester og læring. En nøkkel generert i en nettside er bare så trygg som maskinen den kjører på, og den private nøkkelen som lastes ned er ukryptert: hvem som helst som åpner filen har nøkkelen. For et sertifikat som det offentlige internett må stole på, la sertifikatutstederen eller egen server generere nøkkelen, og oppbevar den et sted der den ikke kan kopieres.
Hva en CSR er: en PKCS#10-forespørsel inneholder den offentlige nøkkelen, navnefeltene som ble skrevet inn og navnene sertifikatet skal dekke, og det hele signeres med den private nøkkelen. Signaturen beviser at forespørselen ikke ble endret på veien til CA-en. Den private nøkkelen er ikke en del av forespørselen og kan ikke gjenskapes fra den.

Hva denne siden ikke gjør: den kontakter ikke en CA, registrerer ingenting, og kan ikke si om CA-en godtar disse feltene — hver CA legger til egne regler. Den krypterer heller ikke nøkkelfilen; trengs det, pakkes nøkkelen inn med PKCS#8-kryptering eller en PKCS#12-beholder med egne verktøy.

Personvern: nøkkelparet lages med nettleserens egen kryptografi, og forespørselen signeres her. Ingen opplasting, ingen server, ingen informasjonskapsler, ingen analyse — siden fungerer like fint fra en lokal fil. Når resultatet dekodes, leser sertifikatdekoderen det tilbake uten nettverkstilgang også.

Hva så: lim inn forespørselen i CA-ens bestillingsskjema, eller signer den selv på generatoren for selvsignerte sertifikater for å se hele veien fra nøkkel til sertifikat.