Převod souboru PEM do PDF

Certifikát nebo veřejný klíč může být nutné vložit do PDF jako záznam pro audit, případ podpory, schvalovací balíček, tisk nebo dlouhodobou dokumentaci. PDF je pouze čitelný snímek; servery, prohlížeče a kryptografické nástroje stále vyžadují původní PEM, DER, PKCS#12 nebo jiný podporovaný formát certifikátu.

Co obsahuje PEM

PEM, původně „Privacy-Enhanced Mail“, je textové kódování a konvence kontejneru pro kryptografická data. Ukládá bloky kódované pomocí Base64 mezi popisky, jako jsou -----BEGIN CERTIFICATE----- a -----END CERTIFICATE-----.

Certificate authorities, OpenSSL, webové servery, reverse proxies, VPN, cloudové služby a nástroje související s SSH používají soubory PEM pro certifikáty X.509, řetězce certifikátů, žádosti o podpis certifikátu (CSR), veřejné klíče a soukromé klíče. Přípony názvů souborů nejsou spolehlivými identifikátory: .pem, .crt a .cer mohou obsahovat text PEM, zatímco .cer může obsahovat také binární data DER.

Před sdílením nebo převodem souboru zkontrolujte popisek bloku. Soubory obsahující BEGIN PRIVATE KEY, BEGIN ENCRYPTED PRIVATE KEY, BEGIN RSA PRIVATE KEY nebo BEGIN EC PRIVATE KEY obsahují materiál soukromého klíče a nesmí být nahrávány do online převodníků, zasílány e-mailem ani zahrnovány do běžné dokumentace.

Co poskytuje PDF

PDF je formát dokumentu s pevným rozvržením určený k prohlížení, tisku a výměně dokumentů. Textové PDF zachovává volitelný text PEM a dekódovaná pole certifikátu, díky čemuž lze sériová čísla, fingerprinty SHA-256, předměty, vydavatele a data platnosti snadněji kontrolovat a kopírovat než ze snímku obrazovky nebo naskenované stránky.

PDF nelze použít jako soubor ssl_certificate, importovat jako běžný certifikát nebo klíč ani předat OpenSSL jako vstup PEM. Převod souboru PEM do PDF jej neověří, nezmění jeho kryptografické vlastnosti ani jej neučiní vhodným pro konfiguraci TLS.

Vytvoření záznamu PDF z certifikátu

U certifikátu X.509 dekódujte jeho pole lokálně pomocí OpenSSL:

openssl x509 -in certificate.pem -text -noout > certificate-details.txt

Před exportem zkontrolujte identitu a platnost certifikátu:

openssl x509 -in certificate.pem -noout -subject -issuer -dates -fingerprint -sha256

Chcete-li zachovat původní blok veřejného certifikátu i jeho dekódovaná pole, vytvořte jeden textový záznam:

{
  echo "Original PEM"
  cat certificate.pem
  echo
  echo "Decoded certificate details"
  openssl x509 -in certificate.pem -text -noout
} > certificate-record.txt

Otevřete certificate-record.txt v LibreOffice Writer, Microsoft Word nebo jiném editoru, který čistě exportuje text. Použijte neproporcionální písmo, například Consolas, Courier New nebo Liberation Mono, a poté proveďte export pomocí LibreOffice File → Export As → Export as PDF nebo Wordu File → Save As → PDF.

LibreOffice může provést základní převod z příkazového řádku:

libreoffice --headless --convert-to pdf certificate-record.txt

V systému Windows funguje také File → Print → Microsoft Print to PDF. V systému macOS použijte File → Print → Save as PDF. Výsledné PDF vizuálně ověřte, protože zalamování řádků může rozdělit dlouhé řádky Base64 nebo fingerprinty.

Jiné typy bloků PEM

U CSR použijte:

openssl req -in request.pem -text -noout > request-details.txt

U veřejného klíče PEM použijte:

openssl pkey -pubin -in public-key.pem -text -noout > public-key-details.txt

Nevytvářejte záznam PDF ze soukromého klíče, pokud to výslovně nevyžaduje řízený bezpečnostní postup. Pokud je taková dokumentace nevyhnutelná, skryjte samotný blok klíče a zaznamenejte pouze necitlivé informace, jako je algoritmus klíče, velikost, fingerprint veřejného klíče a odkaz na způsob nakládání.

Online převod a omezení kompatibility

CloudConvert a Zamzar mohou převést připravený soubor .txt do PDF, ale vykreslují text; nespolehlivě dekódují, ověřují nebo chápou objekty PEM. Používejte je pouze pro necitlivý veřejný materiál po kontrole obsahu souboru. Řetězce certifikátů, identifikační data klientských certifikátů, interní názvy hostitelů a všechny soukromé klíče uchovávejte, pokud možno, v lokálních systémech.

Řetězec PEM obsahuje více bloků BEGIN CERTIFICATE. Zachovejte jejich pořadí v PDF, protože nasazení TLS běžně vyžadují listový certifikát následovaný zprostředkujícími certifikáty; kořenový certifikát nezahrnujte, pokud jej přijímající postup výslovně nevyžaduje.

Exportujte volitelný text namísto skenovaného nebo rastrového PDF. Rastrový obrázek může ztížit kopírování, vyhledávání, porovnávání a nezávislé ověřování fingerprintu nebo bloku PEM.

Digitální podepsání existujícího PDF certifikátem PEM je samostatná operace, nikoli převod souboru. Vyžaduje odpovídající soukromý klíč, podpisový certifikát a často také jeho řetězec a software pro podepisování PDF, který podporuje přihlašovací údaje PEM; soukromý klíč nikdy nezpřístupňujte pouze za účelem vytvoření nebo podepsání PDF.