Gerador de Impressão de Certificado

O Certificate Fingerprint Generator calcula hashes criptográficos SHA-256, SHA-1 e MD5 de certificados X.509, produzindo os identificadores únicos usados para certificate pinning, verificação fora-de-banda e auditoria de segurança -- todos calculados localmente em seu navegador. Cole um certificado PEM e obtenha fingerprints em formatos hex separados por dois-pontos, hex bruto e base64.

Entendendo Certificate Fingerprints

Um certificate fingerprint não é um campo armazenado dentro do certificado em si. É um hash criptográfico computado sobre todos os bytes de certificado codificados em DER. Pense nele como um resumo compacto do certificado inteiro: mude um único bit em qualquer lugar no certificado -- um número de série diferente, uma data de validade diferente, um issuer diferente -- e você obtém um fingerprint completamente diferente. Esta propriedade torna fingerprints inestimáveis para identificar e comparar certificados sem precisar corresponder cada campo individualmente.

O uso mais comum de fingerprints é certificate pinning. Quando você constrói um aplicativo móvel ou cliente API que se conecta a um servidor específico, você pode embedar o SHA-256 fingerprint do certificado esperado do servidor em seu código. Durante o handshake TLS, seu app calcula o fingerprint do certificado do servidor e compara contra o valor embarcado. Se eles não corresponderem, a conexão é rejeitada -- mesmo se o certificado seja tecnicamente válido e assinado por uma CA confiável. Isso protege contra ataques man-in-the-middle onde um atacante apresenta um certificado fraudulento mas assinado por CA.

Fingerprints também são essenciais para verificação fora-de-banda. Se alguém envia você um certificado por email e você quer confirmar que não foi adulterado, você pode ligar para eles pelo telefone e ler o SHA-256 fingerprint. Se o fingerprint corresponder ao que eles computaram no final deles, você sabe que tem o mesmo certificado. Este workflow é comum ao trocar certificados para setups de TLS mútuo entre organizações.

Como Gerar um Certificate Fingerprint

1. Cole seu certificado codificado em PEM (começando com -----BEGIN CERTIFICATE-----)
2. A ferramenta calcula fingerprints usando algoritmos SHA-256, SHA-1 e MD5
3. Copie o fingerprint em seu formato preferido (hex separado por dois-pontos, hex bruto ou base64)
4. Use o fingerprint para configuração de pinning, documentação ou verificação

Formatos de Saída de Certificate Fingerprint

O gerador produz fingerprints em múltiplas representações para diferentes casos de uso:

Comparação de Algoritmo

Exemplo de Geração de Fingerprint

Para um certificado com CN=www.example.com:

SHA-256 Fingerprint:
  Hex:    B4:5A:E2:C3:7F:D1:92:4B:88:E6:A0:3C:55:71:F8:09:
          2D:A4:C6:B7:E8:1F:3A:50:96:D2:44:7B:CC:8E:15:61
  Base64: tFriw3/RkksI5qA8VXH4CS2kxrfoHzpQltJEe8yOFWE=

SHA-1 Fingerprint:
  Hex:    9A:C2:D5:F7:11:3B:8E:44:6D:A9:01:C3:77:52:BB:DE:FF:08:91:23

MD5 Fingerprint:
  Hex:    4D:2B:9A:C1:E5:F3:78:06:AA:11:DD:55:B2:C4:E6:F8

Quando Usar Esta Ferramenta

• Implementação de certificate pinning -- extraia fingerprints SHA-256 para pinning de certificados em aplicativos móveis (Android network-security-config.xml ou iOS Info.plist)
• Verificação fora-de-banda -- compare fingerprints sobre um canal separado para confirmar que tem o certificado correto
• Auditorias de segurança -- documente fingerprints de certificado em políticas de segurança e relatórios de conformidade
• Comparação de ambiente -- verifique que certificados deployados em staging, produção e CDN correspondem comparando fingerprints
• Setup de proxy de inspeção TLS -- configure fingerprints de certificado confiável para allowlists de interception por proxy
• Detecção de mudança -- compare fingerprints antes e depois de operações de certificado para confirmar se um certificado foi realmente substituído

Como Certificate Fingerprints Funcionam

Um certificate fingerprint é um hash criptográfico de todo o certificado codificado em DER. Ele não é um campo dentro do certificado -- é computado sobre os bytes de certificado bruto. Isso significa qualquer mudança no certificado, não importa quão pequena, produz um fingerprint completamente diferente.

O fingerprint identifica unicamente um certificado específico. Dois certificados com períodos de validade diferentes, números de série ou issuers terão fingerprints diferentes mesmo se compartilharem a mesma chave pública e sujeito. Esta distinção importa: certificate pinning pin para um certificado específico, enquanto public key pinning pin para a chave independentemente de qual certificado a contém.

Pinning com SHA-256

Certificate pinning em produção sempre deve usar SHA-256. O fluxo de implementação típico:

1. Extraia o SHA-256 fingerprint do certificado de folha do seu servidor
2. Embedar o fingerprint em seu código de aplicação ou configuração
3. Durante handshake TLS, calcule o fingerprint do certificado recebido
4. Compara contra o fingerprint armazenado -- rejeite se não corresponderem

Computando Fingerprints com OpenSSL

Você pode verificar a saída desta ferramenta contra OpenSSL:

# SHA-256 fingerprint
openssl x509 -in cert.pem -noout -fingerprint -sha256

# SHA-1 fingerprint
openssl x509 -in cert.pem -noout -fingerprint -sha1

# MD5 fingerprint
openssl x509 -in cert.pem -noout -fingerprint -md5

Práticas Recomendadas de Fingerprint

A decisão mais importante em certificate pinning é escolher entre pinning do fingerprint do certificado e pinning do hash de chave pública. Fingerprints de certificado são mais simples de implementar -- você hash o certificado inteiro e compara -- mas quebram a cada renovação porque um certificado renovado tem diferentes datas de validade, número de série e assinatura, produzindo um fingerprint diferente. Se você pin um fingerprint de certificado sem um plano de rotação, seu app parará de conectar no momento em que o certificado é renovado. Sempre pin pelo menos dois fingerprints: o certificado atual e o próximo que você planeja deployar.

Public key pinning, por contraste, sobrevive renovação enquanto você reutiliza o mesmo par de chaves. Muitas equipes preferem essa abordagem porque desacopla pinning do ciclo de renovação. Porém, se sua política de segurança requer rotação de chave a cada renovação, public key pinning não fornece vantagem e você está de volta a gerenciar atualizações de pin. De qualquer forma, você precisa de uma estratégia para rotacionar pins antes que o certificado ou chave atuais sejam aposentados.

Ao documentar certificados para conformidade ou operações, inclua o SHA-256 fingerprint ao lado do sujeito, issuer e data de expiração. Fingerprints dão a você um identificador inequívoco que é muito mais confiável que comparar nomes de sujeito, que podem ser idênticos entre múltiplos certificados. Se você precisar rastrear um certificado específico entre load balancers, nós CDN e sistemas de monitoramento, o fingerprint é a referência canônica.

Perguntas Frequentes

Qual é a diferença entre um certificate fingerprint e um public key hash? Um certificate fingerprint faz hash do certificado inteiro (incluindo sujeito, issuer, validade e a chave pública). Um public key hash cobre apenas a porção SubjectPublicKeyInfo. Fingerprints de certificado mudam quando você renova um certificado, mesmo se reutilizar a mesma chave. Hashes de chave pública permanecem estáveis através de renovações com o mesmo par de chaves, é por isso que algumas implementações de pinning as preferem.

Qual algoritmo de fingerprint devo usar? Use SHA-256 para todas implementações novas. SHA-1 tem ataques de colisão conhecidos e só é necessário para compatibilidade com sistemas legados que não suportam SHA-256. MD5 é criptograficamente quebrado e nunca deve ser usado para verificação sensível de segurança.

Como computo um fingerprint com OpenSSL para comparação? Execute openssl x509 -in cert.pem -noout -fingerprint -sha256 para produzir o SHA-256 fingerprint em formato hex separado por dois-pontos. Compare esta saída caractere por caractere com o resultado desta ferramenta para verificar consistência.

Dois certificados diferentes podem ter o mesmo fingerprint? Na prática, não. SHA-256 produz um hash de 256-bit e encontrar duas entradas diferentes que produzem o mesmo hash (uma colisão) é computacionalmente infeasível com tecnologia atual. Colisões SHA-1 foram demonstradas em pesquisa, que é uma razão pela qual SHA-256 é o padrão recomendado.

Fingerprints de certificado mudam quando o formato de certificado muda de DER para PEM? Não. O fingerprint é sempre computado sobre os bytes codificados em DER, independentemente de como o certificado é armazenado ou transmitido. Converter entre DER e PEM não muda os dados DER subjacentes, então o fingerprint permanece o mesmo.

Ferramentas Relacionadas

• X.509 Certificate Viewer - Ver detalhes de certificado completos incluindo sujeito, issuer e extensões
• Public Key Extractor - Extrair a chave pública para pinning baseado em chave em vez de certificate pinning
• Certificate Expiry Checker - Verificar datas de validade e dias restantes até expiração
• SAN Extractor - Extrair todos Subject Alternative Names de um certificado
• Convert DER to PEM - Converter certificados DER binários para formato PEM antes de fingerprinting