Zertifikat-Fingerprint-Generator

Der Certificate Fingerprint Generator berechnet kryptografische SHA-256-, SHA-1- und MD5-Hashes von X.509-Zertifikaten und erzeugt die eindeutigen Kennungen, die für Certificate Pinning, Out-of-Band-Verifizierung und Sicherheitsaudits verwendet werden -- alles lokal in Ihrem Browser berechnet. Fügen Sie ein PEM-Zertifikat ein und erhalten Sie Fingerabdrücke in durch Doppelpunkte getrenntem Hex-Format, reinem Hex-Format und Base64-Format.

Grundlagen von Zertifikatsfingerabdrücken

Ein Zertifikatsfingerabdruck ist kein Feld, das innerhalb des Zertifikats selbst gespeichert ist. Er ist ein kryptografischer Hash, der über die gesamten DER-kodierten Zertifikatsbytes berechnet wird. Stellen Sie ihn sich als kompakte Zusammenfassung des gesamten Zertifikats vor: Ändern Sie ein einziges Bit irgendwo im Zertifikat -- eine andere Seriennummer, ein anderes Gültigkeitsdatum, ein anderer Aussteller -- und Sie erhalten einen völlig anderen Fingerabdruck. Diese Eigenschaft macht Fingerabdrücke unverzichtbar für die Identifizierung und den Vergleich von Zertifikaten, ohne jedes einzelne Feld abgleichen zu müssen.

Die häufigste Verwendung von Fingerabdrücken ist Certificate Pinning. Wenn Sie eine mobile App oder einen API-Client entwickeln, der sich mit einem bestimmten Server verbindet, können Sie den erwarteten SHA-256-Fingerabdruck des Zertifikats in Ihren Code einbetten. Während des TLS-Handshakes berechnet Ihre App den Fingerabdruck des Server-Zertifikats und vergleicht ihn mit dem eingebetteten Wert. Stimmen sie nicht überein, wird die Verbindung abgelehnt -- selbst wenn das Zertifikat technisch gültig und von einer vertrauenswürdigen Zertifizierungsstelle signiert ist. Dies schützt vor Man-in-the-Middle-Angriffen, bei denen ein Angreifer ein gefälschtes, aber von einer Zertifizierungsstelle signiertes Zertifikat präsentiert.

Fingerabdrücke sind auch für die Out-of-Band-Verifizierung unverzichtbar. Wenn Ihnen jemand ein Zertifikat per E-Mail sendet und Sie bestätigen möchten, dass es nicht manipuliert wurde, können Sie die Person anrufen und den SHA-256-Fingerabdruck vorlesen. Stimmt der Fingerabdruck mit dem überein, was auf der anderen Seite berechnet wurde, wissen Sie, dass Sie dasselbe Zertifikat haben. Dieser Arbeitsablauf ist üblich beim Austausch von Zertifikaten für Mutual-TLS-Setups zwischen Organisationen.

So generieren Sie einen Zertifikatsfingerabdruck

1. Fügen Sie Ihr PEM-kodiertes Zertifikat ein (beginnend mit -----BEGIN CERTIFICATE-----)
2. Das Tool berechnet Fingerabdrücke mit den Algorithmen SHA-256, SHA-1 und MD5
3. Kopieren Sie den Fingerabdruck in Ihrem bevorzugten Format (durch Doppelpunkte getrenntes Hex, reines Hex oder Base64)
4. Verwenden Sie den Fingerabdruck für Pinning-Konfiguration, Dokumentation oder Verifizierung

Ausgabeformate des Zertifikatsfingerabdrucks

Der Generator erzeugt Fingerabdrücke in mehreren Darstellungen für verschiedene Anwendungsfälle:

Algorithmenvergleich

Beispiel einer Fingerabdruck-Generierung

Für ein Zertifikat mit CN=www.example.com:

SHA-256 Fingerprint:
  Hex:    B4:5A:E2:C3:7F:D1:92:4B:88:E6:A0:3C:55:71:F8:09:
          2D:A4:C6:B7:E8:1F:3A:50:96:D2:44:7B:CC:8E:15:61
  Base64: tFriw3/RkksI5qA8VXH4CS2kxrfoHzpQltJEe8yOFWE=

SHA-1 Fingerprint:
  Hex:    9A:C2:D5:F7:11:3B:8E:44:6D:A9:01:C3:77:52:BB:DE:FF:08:91:23

MD5 Fingerprint:
  Hex:    4D:2B:9A:C1:E5:F3:78:06:AA:11:DD:55:B2:C4:E6:F8

Wann dieses Tool verwenden

• Implementierung von Certificate Pinning -- SHA-256-Fingerabdrücke für das Pinning von Zertifikaten in mobilen Apps extrahieren (Android network-security-config.xml oder iOS Info.plist)
• Out-of-Band-Verifizierung -- Fingerabdrücke über einen separaten Kanal vergleichen, um zu bestätigen, dass Sie das richtige Zertifikat haben
• Sicherheitsaudits -- Zertifikatsfingerabdrücke in Sicherheitsrichtlinien und Compliance-Berichten dokumentieren
• Umgebungsvergleich -- Überprüfen, dass über Staging, Produktion und CDN bereitgestellte Zertifikate übereinstimmen, indem Fingerabdrücke verglichen werden
• Einrichtung von TLS-Inspektions-Proxys -- Vertrauenswürdige Zertifikatsfingerabdrücke für Proxy-Interception-Allowlists konfigurieren
• Änderungserkennung -- Fingerabdrücke vor und nach Zertifikatsoperationen vergleichen, um zu bestätigen, ob ein Zertifikat tatsächlich ausgetauscht wurde

Funktionsweise von Zertifikatsfingerabdrücken

Ein Zertifikatsfingerabdruck ist ein kryptografischer Hash des gesamten DER-kodierten Zertifikats. Er ist kein Feld innerhalb des Zertifikats -- er wird über die rohen Zertifikatsbytes berechnet. Das bedeutet, dass jede Änderung am Zertifikat, egal wie klein, einen völlig anderen Fingerabdruck erzeugt.

Der Fingerabdruck identifiziert ein bestimmtes Zertifikat eindeutig. Zwei Zertifikate mit unterschiedlichen Gültigkeitszeiträumen, Seriennummern oder Ausstellern haben unterschiedliche Fingerabdrücke, selbst wenn sie denselben öffentlichen Schlüssel und dasselbe Subject haben. Dieser Unterschied ist wichtig: Certificate Pinning pinnt auf ein bestimmtes Zertifikat, während Public Key Pinning auf den Schlüssel pinnt, unabhängig davon, welches Zertifikat ihn enthält.

Pinning mit SHA-256

Certificate Pinning in der Produktion sollte immer SHA-256 verwenden. Der typische Implementierungsablauf:

1. Den SHA-256-Fingerabdruck des Endentitäts-Zertifikats Ihres Servers extrahieren
2. Den Fingerabdruck in Ihren Anwendungscode oder Ihre Konfiguration einbetten
3. Während des TLS-Handshakes den Fingerabdruck des empfangenen Zertifikats berechnen
4. Mit dem gespeicherten Fingerabdruck vergleichen -- ablehnen, wenn sie nicht übereinstimmen

Fingerabdrücke mit OpenSSL berechnen

Sie können die Ausgabe dieses Tools mit OpenSSL verifizieren:

# SHA-256 Fingerabdruck
openssl x509 -in cert.pem -noout -fingerprint -sha256

# SHA-1 Fingerabdruck
openssl x509 -in cert.pem -noout -fingerprint -sha1

# MD5 Fingerabdruck
openssl x509 -in cert.pem -noout -fingerprint -md5

Best Practices für Fingerabdrücke

Die wichtigste Entscheidung beim Certificate Pinning ist die Wahl zwischen dem Pinning des Zertifikatsfingerabdrucks und dem Pinning des Public-Key-Hashs. Zertifikatsfingerabdrücke sind einfacher zu implementieren -- Sie hashen das gesamte Zertifikat und vergleichen -- aber sie werden bei jeder Erneuerung ungültig, da ein erneuertes Zertifikat andere Gültigkeitsdaten, eine andere Seriennummer und eine andere Signatur hat und somit einen anderen Fingerabdruck erzeugt. Wenn Sie einen Zertifikatsfingerabdruck ohne Rotationsplan pinnen, stellt Ihre App die Verbindung in dem Moment ein, in dem das Zertifikat erneuert wird. Pinnen Sie immer mindestens zwei Fingerabdrücke: das aktuelle Zertifikat und das nächste, das Sie bereitstellen möchten.

Public Key Pinning hingegen übersteht eine Erneuerung, solange Sie dasselbe Schlüsselpaar wiederverwenden. Viele Teams bevorzugen diesen Ansatz, weil er das Pinning vom Erneuerungszyklus entkoppelt. Wenn Ihre Sicherheitsrichtlinie jedoch bei jeder Erneuerung eine Schlüsselrotation verlangt, bietet Public Key Pinning keinen Vorteil, und Sie müssen wieder Pin-Updates verwalten. In jedem Fall benötigen Sie eine Strategie für das Rotieren von Pins, bevor das aktuelle Zertifikat oder der Schlüssel ausgemustert wird.

Wenn Sie Zertifikate für Compliance oder den Betrieb dokumentieren, fügen Sie den SHA-256-Fingerabdruck zusammen mit Subject, Aussteller und Ablaufdatum hinzu. Fingerabdrücke geben Ihnen einen eindeutigen Identifikator, der weitaus zuverlässiger ist als der Vergleich von Subject-Namen, die über mehrere Zertifikate hinweg identisch sein können. Wenn Sie ein bestimmtes Zertifikat über Load Balancer, CDN-Knoten und Monitoring-Systeme hinweg verfolgen müssen, ist der Fingerabdruck die kanonische Referenz.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Zertifikatsfingerabdruck und einem Public-Key-Hash? Ein Zertifikatsfingerabdruck hasht das gesamte Zertifikat (einschließlich Subject, Aussteller, Gültigkeit und öffentlichem Schlüssel). Ein Public-Key-Hash deckt nur den SubjectPublicKeyInfo-Teil ab. Zertifikatsfingerabdrücke ändern sich, wenn Sie ein Zertifikat erneuern, selbst wenn Sie denselben Schlüssel wiederverwenden. Public-Key-Hashes bleiben bei Erneuerungen mit demselben Schlüsselpaar stabil, weshalb einige Pinning-Implementierungen sie bevorzugen.

Welchen Fingerabdruck-Algorithmus sollte ich verwenden? Verwenden Sie SHA-256 für alle neuen Implementierungen. SHA-1 hat bekannte Kollisionsangriffe und wird nur für die Kompatibilität mit Legacy-Systemen benötigt, die SHA-256 nicht unterstützen. MD5 ist kryptografisch gebrochen und sollte niemals für sicherheitsrelevante Verifizierungen verwendet werden.

Wie berechne ich einen Fingerabdruck mit OpenSSL zum Vergleich? Führen Sie openssl x509 -in cert.pem -noout -fingerprint -sha256 aus, um den SHA-256-Fingerabdruck im durch Doppelpunkte getrennten Hex-Format zu erzeugen. Vergleichen Sie diese Ausgabe Zeichen für Zeichen mit dem Ergebnis dieses Tools, um die Konsistenz zu überprüfen.

Können zwei verschiedene Zertifikate denselben Fingerabdruck haben? In der Praxis nein. SHA-256 erzeugt einen 256-Bit-Hash, und das Finden zweier verschiedener Eingaben, die denselben Hash erzeugen (eine Kollision), ist mit heutiger Technologie rechnerisch nicht machbar. SHA-1-Kollisionen wurden in der Forschung demonstriert, was einer der Gründe ist, warum SHA-256 der empfohlene Standard ist.

Ändern sich Zertifikatsfingerabdrücke, wenn das Zertifikatsformat von DER zu PEM wechselt? Nein. Der Fingerabdruck wird immer über die DER-kodierten Bytes berechnet, unabhängig davon, wie das Zertifikat gespeichert oder übertragen wird. Die Konvertierung zwischen DER und PEM ändert die zugrunde liegenden DER-Daten nicht, sodass der Fingerabdruck gleich bleibt.

Verwandte Tools

• X.509 Certificate Viewer - Vollständige Zertifikatsdetails einschließlich Subject, Aussteller und Erweiterungen anzeigen
• Public Key Extractor - Öffentlichen Schlüssel für schlüsselbasiertes Pinning anstelle von Zertifikats-Pinning extrahieren
• Certificate Expiry Checker - Gültigkeitsdaten und verbleibende Tage bis zum Ablauf prüfen
• SAN Extractor - Alle Subject Alternative Names aus einem Zertifikat extrahieren
• Convert DER to PEM - Binäre DER-Zertifikate in PEM-Format konvertieren, bevor Fingerabdrücke erstellt werden