Converti PEM in PDF

Un certificato o una chiave pubblica possono dover essere inseriti in un PDF per un verbale di audit, un caso di supporto, un pacchetto di approvazione, la stampa o la documentazione a lungo termine. Il PDF è solo un’istantanea leggibile; server, browser e strumenti crittografici richiedono comunque il formato di certificato originale PEM, DER, PKCS#12 o altro formato supportato.

Cosa contiene PEM

PEM, originariamente “Privacy-Enhanced Mail”, è una convenzione di codifica testuale e contenitore per dati crittografici. Memorizza blocchi codificati in Base64 tra etichette come -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Le autorità di certificazione, OpenSSL, i server web, i proxy inversi, le VPN, i servizi cloud e gli strumenti correlati a SSH utilizzano file PEM per certificati X.509, catene di certificati, richieste di firma del certificato (CSR), chiavi pubbliche e chiavi private. Le estensioni dei nomi file non sono identificatori affidabili: .pem, .crt e .cer possono contenere testo PEM, mentre .cer può contenere anche dati binari DER.

Esaminare l’etichetta del blocco prima di condividere o convertire un file. I file contenenti BEGIN PRIVATE KEY, BEGIN ENCRYPTED PRIVATE KEY, BEGIN RSA PRIVATE KEY o BEGIN EC PRIVATE KEY contengono materiale relativo a chiavi private e non devono essere caricati su convertitori online, inviati tramite email o inclusi nella documentazione ordinaria.

Cosa offre PDF

PDF è un formato di documento a layout fisso per la visualizzazione, la stampa e lo scambio di documenti. Un PDF basato su testo conserva il testo PEM selezionabile e i campi decodificati del certificato, facilitando la revisione e la copia di numeri di serie, impronte digitali SHA-256, subject, issuer e date di validità rispetto a uno screenshot o a una pagina scansionata.

Un PDF non può essere utilizzato come file ssl_certificate, importato come certificato o chiave normale, né passato a OpenSSL come input PEM. La conversione di un file PEM in PDF non lo convalida, non ne modifica le proprietà crittografiche e non lo rende adatto alla configurazione TLS.

Creare un verbale PDF da un certificato

Per un certificato X.509, decodificare localmente i relativi campi con OpenSSL:

openssl x509 -in certificate.pem -text -noout > certificate-details.txt

Verificare l’identità e la validità del certificato prima dell’esportazione:

openssl x509 -in certificate.pem -noout -subject -issuer -dates -fingerprint -sha256

Per conservare sia il blocco del certificato pubblico originale sia i relativi campi decodificati, creare un unico verbale testuale:

{
  echo "Original PEM"
  cat certificate.pem
  echo
  echo "Decoded certificate details"
  openssl x509 -in certificate.pem -text -noout
} > certificate-record.txt

Aprire certificate-record.txt in LibreOffice Writer, Microsoft Word o un altro editor che esporti il testo in modo pulito. Utilizzare un carattere a spaziatura fissa come Consolas, Courier New o Liberation Mono, quindi esportare con LibreOffice File → Export As → Export as PDF o Word File → Save As → PDF.

LibreOffice può eseguire una conversione di base dalla riga di comando:

libreoffice --headless --convert-to pdf certificate-record.txt

In Windows funziona anche File → Print → Microsoft Print to PDF. In macOS, utilizzare File → Print → Save as PDF. Verificare visivamente il PDF risultante, poiché l’a capo automatico può dividere le righe Base64 lunghe o le impronte digitali.

Altri tipi di blocchi PEM

Per una CSR, utilizzare:

openssl req -in request.pem -text -noout > request-details.txt

Per una chiave pubblica PEM, utilizzare:

openssl pkey -pubin -in public-key.pem -text -noout > public-key-details.txt

Non generare un verbale PDF da una chiave privata, a meno che una procedura di sicurezza controllata non lo richieda esplicitamente. Se tale documentazione è inevitabile, oscurare il blocco della chiave stesso e registrare solo informazioni non segrete, come l’algoritmo della chiave, la dimensione, l’impronta digitale della chiave pubblica e il riferimento di gestione.

Conversione online e limiti di compatibilità

CloudConvert e Zamzar possono convertire un file .txt preparato in PDF, ma eseguono il rendering del testo; non decodificano, convalidano o interpretano in modo affidabile gli oggetti PEM. Utilizzarli solo per materiale pubblico non sensibile dopo aver esaminato il contenuto del file. Ove possibile, mantenere le catene di certificati, i dati identificativi dei certificati client, i nomi host interni e tutte le chiavi private sui sistemi locali.

Una catena PEM contiene più blocchi BEGIN CERTIFICATE. Mantenerne l’ordine nel PDF, poiché le implementazioni TLS normalmente richiedono il certificato leaf seguito dai certificati intermedi; non includere il certificato root, a meno che la procedura di ricezione non lo richieda specificamente.

Esportare testo selezionabile invece di un PDF scansionato o rasterizzato. Un’immagine raster può rendere difficile copiare, cercare, confrontare e verificare in modo indipendente un’impronta digitale o un blocco PEM.

La firma digitale di un PDF esistente con un certificato PEM è un’operazione separata, non una conversione di file. Richiede la chiave privata corrispondente, il certificato di firma e spesso la relativa catena, oltre a un software per la firma dei PDF che supporti le credenziali PEM; non divulgare mai la chiave privata semplicemente per creare o firmare un PDF.