Konwertuj PEM na PDF

Certyfikat lub klucz publiczny może wymagać umieszczenia w pliku PDF na potrzeby dokumentacji audytowej, zgłoszenia do pomocy technicznej, pakietu zatwierdzającego, drukowania lub dokumentacji długoterminowej. PDF jest wyłącznie czytelnym zrzutem; serwery, przeglądarki i narzędzia kryptograficzne nadal wymagają oryginalnego certyfikatu w obsługiwanym formacie PEM, DER, PKCS#12 lub innym.

Co zawiera PEM

PEM, pierwotnie „Privacy-Enhanced Mail”, to konwencja kodowania tekstowego i kontenera dla danych kryptograficznych. Przechowuje bloki zakodowane w Base64 pomiędzy etykietami, takimi jak -----BEGIN CERTIFICATE----- i -----END CERTIFICATE-----.

Urzędy certyfikacji, OpenSSL, serwery internetowe, reverse proxy, sieci VPN, usługi w chmurze oraz narzędzia związane z SSH używają plików PEM dla certyfikatów X.509, łańcuchów certyfikatów, żądań podpisania certyfikatu (CSR), kluczy publicznych i kluczy prywatnych. Rozszerzenia nazw plików nie są wiarygodnymi identyfikatorami: .pem, .crt i .cer mogą zawierać tekst PEM, natomiast .cer może również zawierać dane binarne DER.

Przed udostępnieniem lub konwersją pliku sprawdź etykietę bloku. Pliki zawierające BEGIN PRIVATE KEY, BEGIN ENCRYPTED PRIVATE KEY, BEGIN RSA PRIVATE KEY lub BEGIN EC PRIVATE KEY zawierają dane klucza prywatnego i nie mogą być przesyłane do internetowych konwerterów, wysyłane pocztą elektroniczną ani umieszczane w standardowej dokumentacji.

Co zapewnia PDF

PDF to format dokumentu o stałym układzie, przeznaczony do wyświetlania, drukowania i wymiany dokumentów. PDF oparty na tekście zachowuje możliwość zaznaczania tekstu PEM oraz zdekodowanych pól certyfikatu, dzięki czemu numery seryjne, odciski SHA-256, podmioty, wystawcy i daty ważności można łatwiej przeglądać i kopiować niż w przypadku zrzutu ekranu lub zeskanowanej strony.

PDF nie może być używany jako plik ssl_certificate, importowany jako zwykły certyfikat lub klucz ani przekazywany do OpenSSL jako dane wejściowe PEM. Konwersja pliku PEM do PDF nie weryfikuje go, nie zmienia jego właściwości kryptograficznych ani nie sprawia, że nadaje się on do konfiguracji TLS.

Tworzenie dokumentacji PDF z certyfikatu

W przypadku certyfikatu X.509 zdekoduj jego pola lokalnie za pomocą OpenSSL:

openssl x509 -in certificate.pem -text -noout > certificate-details.txt

Przed eksportem sprawdź tożsamość certyfikatu i jego ważność:

openssl x509 -in certificate.pem -noout -subject -issuer -dates -fingerprint -sha256

Aby zachować zarówno oryginalny blok certyfikatu publicznego, jak i jego zdekodowane pola, utwórz jeden rekord tekstowy:

{
  echo "Original PEM"
  cat certificate.pem
  echo
  echo "Decoded certificate details"
  openssl x509 -in certificate.pem -text -noout
} > certificate-record.txt

Otwórz plik certificate-record.txt w LibreOffice Writer, Microsoft Word lub innym edytorze, który poprawnie eksportuje tekst. Użyj czcionki o stałej szerokości, takiej jak Consolas, Courier New lub Liberation Mono, a następnie wyeksportuj plik za pomocą LibreOffice File → Export As → Export as PDF lub Word File → Save As → PDF.

LibreOffice może wykonać podstawową konwersję z wiersza poleceń:

libreoffice --headless --convert-to pdf certificate-record.txt

W systemie Windows działa również opcja File → Print → Microsoft Print to PDF. W systemie macOS użyj opcji File → Print → Save as PDF. Sprawdź wizualnie wynikowy PDF, ponieważ zawijanie wierszy może rozdzielić długie wiersze Base64 lub odciski.

Inne typy bloków PEM

W przypadku CSR użyj:

openssl req -in request.pem -text -noout > request-details.txt

W przypadku klucza publicznego PEM użyj:

openssl pkey -pubin -in public-key.pem -text -noout > public-key-details.txt

Nie twórz dokumentacji PDF z klucza prywatnego, chyba że wymaga tego wyraźnie określona procedura bezpieczeństwa. Jeśli taka dokumentacja jest nieunikniona, usuń sam blok klucza i zapisz wyłącznie informacje niejawne, takie jak algorytm klucza, jego rozmiar, odcisk klucza publicznego oraz oznaczenie dotyczące obsługi.

Konwersja online i ograniczenia zgodności

CloudConvert i Zamzar mogą konwertować przygotowany plik .txt do PDF, ale renderują tekst; nie dekodują, nie weryfikują ani nie interpretują w sposób niezawodny obiektów PEM. Używaj ich wyłącznie w przypadku niewrażliwych materiałów publicznych, po sprawdzeniu zawartości pliku. W miarę możliwości przechowuj łańcuchy certyfikatów, dane identyfikacyjne certyfikatów klienta, wewnętrzne nazwy hostów oraz wszystkie klucze prywatne w systemach lokalnych.

Łańcuch PEM zawiera wiele bloków BEGIN CERTIFICATE. Zachowaj ich kolejność w pliku PDF, ponieważ wdrożenia TLS zwykle wymagają certyfikatu końcowego, po którym następują certyfikaty pośrednie; nie dołączaj certyfikatu głównego, chyba że procedura odbioru wyraźnie tego wymaga.

Eksportuj zaznaczalny tekst zamiast skanowanego lub zrasteryzowanego pliku PDF. Obraz rastrowy może utrudnić kopiowanie, wyszukiwanie, porównywanie i niezależne weryfikowanie odcisku lub bloku PEM.

Podpisanie cyfrowe istniejącego pliku PDF za pomocą certyfikatu PEM to osobna operacja, a nie konwersja pliku. Wymaga odpowiedniego klucza prywatnego, certyfikatu podpisującego i często jego łańcucha, a także oprogramowania do podpisywania PDF obsługującego dane uwierzytelniające PEM; nigdy nie ujawniaj klucza prywatnego wyłącznie w celu utworzenia lub podpisania pliku PDF.