Zertifikat-Schlüssel-Abgleich

Der Certificate Key Matcher bestätigt, ob Ihr SSL-Zertifikat, der dazugehörige private Schlüssel und der CSR zum selben Schlüsselpaar gehören. Fügen Sie zwei der Dateien ein oder laden Sie sie hoch, oder alle drei, für ein sofortiges Ergebnis. Der Vorgang läuft vollständig auf Ihrem Gerät ab, sodass Ihr privater Schlüssel niemals Ihren Rechner verlässt.

So prüfen Sie, ob ein Zertifikat und ein privater Schlüssel zusammenpassen

Fügen Sie Ihr Zertifikat in das erste Feld ein, Ihren privaten Schlüssel in das zweite und, falls vorhanden, Ihren CSR in das dritte. Der Abgleich erfolgt automatisch während der Eingabe, oder Sie klicken auf „Check match„, sobald die Felder ausgefüllt sind. Über die Upload-Schaltflächen können Sie die Dateien auch direkt hochladen, falls Sie nicht kopieren und einfügen möchten.

Die Ergebnisse werden in drei Beurteilungen angezeigt:

1. Zertifikat im Vergleich zum privaten Schlüssel
2. CSR im Vergleich zum Zertifikat
3. CSR im Vergleich zum privaten Schlüssel

Eine grüne Übereinstimmung bei dem Paar, das Sie interessiert, bedeutet, dass diese Dateien gemeinsam erstellt wurden. Führen Sie die Prüfung durch, bevor Sie das Zertifikat installieren, denn eine falsche Zuordnung ist ein häufiger Grund dafür, dass Installationen fehlschlagen.

---

Was der Matcher vergleicht

Zwei Dateien gehören zusammen, wenn sie denselben öffentlichen Schlüssel teilen. Ihr Zertifikat, Ihr CSR und Ihr privater Schlüssel enthalten jeweils diesen öffentlichen Schlüssel, sodass ein Vergleich zeigt, ob sie aus demselben Schlüsselpaar stammen.

Der Matcher liest den öffentlichen Schlüssel aus jeder Datei aus und erstellt daraus einen SHA-256-Fingerabdruck, den SubjectPublicKeyInfo (SPKI). Identische Fingerabdrücke bedeuten identische öffentliche Schlüssel, was wiederum ein echtes Paar bedeutet. Jedes Panel zeigt den Fingerabdruck an, sodass Sie die Werte selbst vergleichen oder kopieren können.

---

Zertifikat, Schlüssel und CSR mit OpenSSL abgleichen

Bevorzugen Sie die Kommandozeile? Führen Sie jede Datei durch OpenSSL und vergleichen Sie die Ausgabe. Die drei folgenden Befehle geben den SHA-256-Fingerabdruck des öffentlichen Schlüssels aus, denselben Wert, den auch das obige Tool vergleicht:

openssl x509 -in certificate.crt -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256

openssl pkey -in private.key -pubout -outform der | openssl dgst -sha256

openssl req -in request.csr -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256

Stimmen die Fingerabdrücke überein, gehören die Dateien zum selben Schlüsselpaar. Weicht auch nur einer ab, liegt eine falsche Zuordnung vor.

Weitere OpenSSL-Prüfungen für dieselben Dateien finden Sie in unserer Anleitung zum Überprüfen eines Zertifikats mit OpenSSL.

---

RSA- und ECC-Schlüssel

Die Fingerabdruck-Methode funktioniert unabhängig davon, ob Ihr Zertifikat einen RSA- oder einen ECC-Schlüssel verwendet, da jedes Zertifikat einen öffentlichen Schlüssel enthält, der verglichen werden kann. Der Matcher erkennt den Typ automatisch und kennzeichnet ihn, zum Beispiel RSA 2048, neben jedem Ergebnis.

Der Modulusvergleich funktioniert nur bei RSA. ECC-Schlüssel haben keinen Modulus, sodass ein Befehl wie openssl rsa -modulus statt eines Hash-Werts einen Fehler zurückgibt.

Arbeiten Sie mit einem ECC-Zertifikat? Vergleichen Sie den Fingerabdruck des öffentlichen Schlüssels, genau das übernimmt das Tool für Sie.

---

Wenn Zertifikat und privater Schlüssel nicht übereinstimmen

Ein Ergebnis ohne Übereinstimmung bedeutet, dass die Dateien aus unterschiedlichen Schlüsselpaaren stammen. Oft wurde der private Schlüssel mit einem externen Tool erstellt und nie auf den Server übertragen, oder ein Kontrollpanel wie cPanel oder Plesk hat einen alten Schlüssel aus einer früheren Bestellung wiederverwendet. Wird ein Zertifikat mit einem neuen Schlüssel neu ausgestellt, während der ursprüngliche Schlüssel noch auf dem Server liegt, führt das zum selben Konflikt.

Um das Problem zu beheben, suchen Sie den privaten Schlüssel, der zusammen mit Ihrem CSR erstellt wurde, in der Regel eine .key-Datei im Konfigurationsverzeichnis Ihres Servers. Falls diese nicht mehr vorhanden ist, erstellen Sie ein neues CSR- und Schlüsselpaar und lassen Sie das Zertifikat anschließend neu ausstellen, damit die Zertifizierungsstelle eines ausstellt, das zu Ihrem neuen Schlüssel passt. Ein privater Schlüssel kann nicht aus einem Zertifikat wiederhergestellt werden, weshalb ein verlorener Schlüssel immer eine Neuausstellung erforderlich macht.

Wenn Sie das vollständige Bild davon erhalten möchten, warum die beiden nicht mehr übereinstimmen und wie sich das auf den jeweiligen Servern zeigt, lesen Sie unsere Anleitung zur Behebung des Modulus-Mismatch-Fehlers.

---

Häufig gestellte Fragen

---