Dekoder CSR

Apa yang ditampilkan dekoder

CSR adalah struktur ASN.1 (PKCS #10). Dekoder membaca dua hal darinya:

• Subjek: kolom Nama Terhormat (Distinguished Name) yang diminta, biasanya negara (C), organisasi (O), unit organisasi (OU), lokalitas (L), provinsi (ST), dan nama umum (CN).
• Kunci publik: algoritma (RSA, EC, DSA) dan ukuran kunci dalam bit.

Tanda tangan di dalam CSR adalah yang membuktikan kepada CA bahwa pengirim memegang kunci pribadi yang cocok. Dekoder ini tidak menampilkannya; CA yang memverifikasinya saat memproses permintaan.

Contoh keluaran

Untuk permintaan sertifikat domain yang umum, keluarannya terlihat seperti ini:

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

Nama atribut yang tepat pada subjek bergantung pada cara permintaan dibuat.

Bidang untuk pemeriksaan ulang

• Nama Umum (CN): harus merupakan nama host utama. Browser modern mengabaikan nilai CN dan hanya memeriksa informasi SAN, namun banyak CA masih menuntut adanya nilai CN yang valid.
• Nama Alternatif Subjek (SANs): daftarkan semua nama host dan simbol wildcard yang akan dilindungi oleh sertifikat tersebut. Peramban membandingkan data berdasarkan SANs, bukan berdasarkan CN.
• Negara (C): Kode ISO berupa dua huruf (US, GB, DE), bukan nama lengkap. CA menolak kode yang salah.
• Ukuran kunci: RSA 2048 merupakan ukuran minimum yang dianjurkan; untuk keamanan lebih tinggi, gunakan 3072 atau 4096 bit. ECDSA P-256 merupakan alternatif modern yang baik dan menghasilkan sertifikat dengan ukuran yang lebih kecil.
• Algoritma penandatanganan: SHA-256 atau yang lebih baik. SHA-1 telah lama tidak digunakan lagi dan akan ditolak.

Tentang Nama Alternatif Subjek (SAN)

Dekoder menampilkan subjek permintaan, tetapi bukan ekstensi SAN. Browser mencocokkan sertifikat berdasarkan SAN, bukan berdasarkan CN; jika sertifikat perlu mencakup nama host tambahan, sertakan saat membuat permintaan, misalnya:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Saat dekoder tidak dapat mengurai CSR

Penyebab paling umum adalah blok PEM yang terpotong atau rusak:

• Teks terpotong: tempel kembali blok lengkap beserta kedua penandanya.
• Ada pemisah baris tambahan: tempel blok persis seperti saat dibuat.
• Isi yang salah: kunci publik, sertifikat, atau kunci pribadi yang tertempel karena keliru tidak akan diurai sebagai CSR.

Membuat kunci yang sesuai

CSR selalu dihasilkan bersamaan dengan kunci pribadi. Perintah umumnya adalah:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

Atau untuk ECDSA:

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

Lindungi kunci privat; jika kunci tersebut bocor, sertifikat harus dicabut.