Afrikaans - Ht
HackTricks Training Twitter Linkedin Sponsor

Certificates

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

Gebruik Trickest om maklik te bou en werkstrome outomatiseer wat aangedryf word deur die wêreld se mees gevorderde gemeenskapshulpmiddels. Kry Vandaag Toegang:

Wat is 'n Sertifikaat

'n Openbare sleutel sertifikaat is 'n digitale ID wat in kriptografie gebruik word om te bewys dat iemand 'n openbare sleutel besit. Dit sluit die sleutel se besonderhede, die eienaar se identiteit (die onderwerp), en 'n digitale handtekening van 'n vertroude gesag (die uitreiker) in. As die sagteware die uitreiker vertrou en die handtekening geldig is, is veilige kommunikasie met die sleutel se eienaar moontlik.

Sertifikate word meestal uitgereik deur sertifikaatowerhede (CA's) in 'n openbare sleutel-infrastruktuur (PKI) opstelling. 'n Ander metode is die web van vertroue, waar gebruikers direk mekaar se sleutels verifieer. Die algemene formaat vir sertifikate is X.509, wat aangepas kan word vir spesifieke behoeftes soos uiteengesit in RFC 5280.

x509 Algemene Velde

Algemene Velde in x509 Sertifikate

In x509 sertifikate speel verskeie velde kritieke rolle om die sertifikaat se geldigheid en sekuriteit te verseker. Hier is 'n uiteensetting van hierdie velde:

  • Die Weergawe Nommer dui die weergawe van die x509-formaat aan.

  • Die Serienommer identifiseer die sertifikaat uniek binne 'n Sertifikaatowerheid se (CA) stelsel, hoofsaaklik vir herroepingstracking.

  • Die Onderwerp veld verteenwoordig die sertifikaat se eienaar, wat 'n masjien, 'n individu, of 'n organisasie kan wees. Dit sluit gedetailleerde identifikasie in soos:

  • Gemeenskaplike Naam (CN): Domeine wat deur die sertifikaat gedek word.

  • Land (C), Lokaliteit (L), Staat of Provinsie (ST, S, of P), Organisasie (O), en Organisasie-eenheid (OU) verskaf geografiese en organisatoriese besonderhede.

  • Onderskeidingsnaam (DN) omvat die volledige onderwerpidentifikasie.

  • Die Uitreiker besonderhede van wie die sertifikaat geverifieer en onderteken het, insluitend soortgelyke subvelde as die Onderwerp vir die CA.

  • Die Geldigheidsperiode word gemerk deur Nie Voor Nie en Nie Na Nie tydstempels, wat verseker dat die sertifikaat nie voor of na 'n sekere datum gebruik word nie.

  • Die Openbare Sleutel afdeling, krities vir die sertifikaat se sekuriteit, spesifiseer die algoritme, grootte, en ander tegniese besonderhede van die openbare sleutel.

  • x509v3-uitbreidings verbeter die sertifikaat se funksionaliteit, spesifiseer Sleutelgebruik, Uitgebreide Sleutelgebruik, Onderwerp Alternatiewe Naam, en ander eienskappe om die sertifikaat se toepassing fynaf te stem.

Sleutelgebruik en Uitbreidings

  • Sleutelgebruik identifiseer kriptografiese toepassings van die openbare sleutel, soos digitale handtekening of sleutelversleuteling.

  • Uitgebreide Sleutelgebruik versmalle verder die sertifikaat se gebruike, bv. vir TLS-bedienerverifikasie.

  • Onderwerp Alternatiewe Naam en Basiese Beperking definieer addisionele gasheernaam wat deur die sertifikaat gedek word en of dit 'n CA- of eindentiteit-sertifikaat is, onderskeidelik.

  • Identifiseerders soos Onderwerp Sleutelidentifiseerder en Uitreiker Sleutelidentifiseerder verseker uniekheid en naspeurbaarheid van sleutels.

  • Uitreikerinligtings Toegang en CRL Verspreidingspunte bied paaie om die uitreikende CA te verifieer en sertifikaatherroepingsstatus te kontroleer.

  • CT Voor-sertifikaat SCT's bied deursigtigheidslêers, krities vir openbare vertroue in die sertifikaat.

# Example of accessing and using x509 certificate fields programmatically:
from cryptography import x509
from cryptography.hazmat.backends import default_backend

# Load an x509 certificate (assuming cert.pem is a certificate file)
with open("cert.pem", "rb") as file:
cert_data = file.read()
certificate = x509.load_pem_x509_certificate(cert_data, default_backend())

# Accessing fields
serial_number = certificate.serial_number
issuer = certificate.issuer
subject = certificate.subject
public_key = certificate.public_key()

print(f"Serial Number: {serial_number}")
print(f"Issuer: {issuer}")
print(f"Subject: {subject}")
print(f"Public Key: {public_key}")

Verskil tussen OCSP en CRL-verspreidingspunte

OCSP (RFC 2560) behels 'n kliënt en 'n reageerder wat saamwerk om te kontroleer of 'n digitale openbare-sleutel sertifikaat herroep is, sonder om die volle CRL af te laai. Hierdie metode is doeltreffender as die tradisionele CRL, wat 'n lys van herroepingsertifikaat serienommers verskaf, maar vereis die aflaai van 'n moontlik groot lêer. CRL's kan tot 512 inskrywings insluit. Meer besonderhede is beskikbaar hier.

Wat is Sertifikaatdeursigtigheid

Sertifikaatdeursigtigheid help om sertifikaatverwante bedreigings te bekamp deur te verseker dat die uitreiking en bestaan van SSL-sertifikate sigbaar is vir domeineienaars, CA's en gebruikers. Die doelwitte is:

  • Voorkoming dat CA's SSL-sertifikate vir 'n domein uitreik sonder die domeineienaar se wete.

  • Daarstel van 'n oop ouditeringstelsel vir die opsporing van per abuis of booswillig uitgereikte sertifikate.

  • Beskerming van gebruikers teen valse sertifikate.

Sertifikaatlogs

Sertifikaatlogs is openlik ouditeerbare, net-byvoegbare rekords van sertifikate, onderhou deur netwerkdienste. Hierdie logs verskaf kriptografiese bewyse vir ouditeringsdoeleindes. Uitreikingsowerhede en die publiek kan sertifikate na hierdie logs indien of dit vir verifikasie ondervra. Alhoewel die presiese aantal logbedieners nie vas is nie, word verwag dat dit wêreldwyd minder as duisend sal wees. Hierdie bedieners kan onafhanklik bestuur word deur CA's, ISP's, of enige belanghebbende entiteit.

Ondersoek

Om Sertifikaatdeursigtigheidslogs vir enige domein te ondersoek, besoek https://crt.sh/.

Verskillende formate bestaan vir die stoor van sertifikate, elk met sy eie gebruike en verenigbaarheid. Hierdie opsomming dek die belangrikste formate en bied leiding oor die omskakeling tussen hulle.

Formate

PEM-formaat

  • Mees algemeen gebruikte formaat vir sertifikate.

  • Vereis aparte lêers vir sertifikate en privaatsleutels, gekodeer in Base64 ASCII.

  • Gewone uitbreidings: .cer, .crt, .pem, .key.

  • Primêr gebruik deur Apache en soortgelyke bedieners.

DER-formaat

  • 'n Binêre formaat van sertifikate.

  • Ontbreek die "BEGIN/END CERTIFICATE" verklarings wat in PEM-lêers gevind word.

  • Gewone uitbreidings: .cer, .der.

  • Dikwels gebruik met Java-platforms.

P7B/PKCS#7-formaat

  • Gestoor in Base64 ASCII, met uitbreidings .p7b of .p7c.

  • Bevat slegs sertifikate en kettingsertifikate, met uitsluiting van die privaatsleutel.

  • Ondersteun deur Microsoft Windows en Java Tomcat.

PFX/P12/PKCS#12-formaat

  • 'n Binêre formaat wat bedienersertifikate, intermediêre sertifikate, en privaatsleutels in een lêer inkapsuleer.

  • Uitbreidings: .pfx, .p12.

  • Hoofsaaklik gebruik op Windows vir sertifikaatinvoer en -uitvoer.

Omskakeling van Formate

PEM-omskakelings is noodsaaklik vir verenigbaarheid:

  • x509 na PEM

openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem

  • PEM na DER

openssl x509 -outform der -in certificatename.pem -out certificatename.der

  • DER na PEM

openssl x509 -inform der -in certificatename.der -out certificatename.pem

  • PEM na P7B

openssl crl2pkcs7 -nocrl -certfile certificatename.pem -out certificatename.p7b -certfile CACert.cer

  • PKCS7 na PEM

openssl pkcs7 -print_certs -in certificatename.p7b -out certificatename.pem

PFX-omskakelings is noodsaaklik vir die bestuur van sertifikate op Windows:

  • PFX na PEM

openssl pkcs12 -in certificatename.pfx -out certificatename.pem

  • PFX na PKCS#8 behels twee stappe:

  1. Omskep PFX na PEM

openssl pkcs12 -in certificatename.pfx -nocerts -nodes -out certificatename.pem

  1. Omskep PEM na PKCS8

openSSL pkcs8 -in certificatename.pem -topk8 -nocrypt -out certificatename.pk8

  • P7B na PFX vereis ook twee bevele:

  1. Omskep P7B na CER

openssl pkcs7 -print_certs -in certificatename.p7b -out certificatename.cer

  1. Omskep CER en Privaatsleutel na PFX

openssl pkcs12 -export -in certificatename.cer -inkey privateKey.key -out certificatename.pfx -certfile cacert.cer

Gebruik Trickest om maklik en outomatiese werksvloei te bou wat aangedryf word deur die wêreld se mees gevorderde gemeenskapsinstrumente. Kry Vandaag Toegang:

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

PreviousUnpacking binariesNextCipher Block Chaining CBC-MAC

Last updated