1

Tenho um código pronto que encontrei na internet sobre informações de Certificado Digital de um determinado domínio, porém não sei como buscar informações específicas dentro deste array.

Gostaria apenas de encontrar informações como nome do certificado, host, data de expiração. Eis um exemplo do código abaixo:

 $url = "http://www.submarino.com.br";
 $orignal_parse = parse_url($url, PHP_URL_HOST);
 $get = stream_context_create(array("ssl" => array("capture_peer_cert" => TRUE)));
 $read = stream_socket_client("ssl://".$orignal_parse.":443", $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $get);
 $cert = stream_context_get_params($read);
 $certinfo = openssl_x509_parse($cert['options']['ssl']['peer_certificate']);
 // print_r($certinfo);
 echo "Nome do certificado: " . $certinfo['name'];

Usando o print_r na variable $certinfo deu os seguintes resultados, como que poderia "quebrar" alguns itens dentro do array?

1
  • O que você quer "quebrar" exatamente? De um exemplo de algum resultado, e como vc gostaria que ele fosse quebrado. Fica mais fácil pra tentar te ajudar. Commented 7/11/2018 às 23:32

1 Resposta 1

2

Faz um tempo que não programo em PHP e com certeza os códigos abaixo não são os melhores, mas como o foco da questão é sobre os campos do certificado, achei que valia a pena uma resposta.


O "nome" do certificado a que você se refere, provavelmente é o campo Subject, que aparece desta forma ao usar print_r:

[subject] => Array
    (
        [C] => BR
        [ST] => Rio de Janeiro
        [L] => Rio de Janeiro
        [O] => B2W COMPANHIA DIGITAL
        [OU] => Tecnologia
        [CN] => b2wdigital.com
    )

No caso, você poderia pegar somente o CN, que contém o Common Name do certificado (no caso de certificados de servidor, contém a URL do site):

echo "Nome do certificado: " . $certinfo['subject']['CN'];

Neste caso, a saída é:

Nome do certificado: b2wdigital.com

Mas um certificado de servidor pode corresponder a mais de uma URL, cujos valores ficam na extensão Subject Alternative Name. O print_r mostra desta maneira:

[extensions] => Array
    (
        ... outras extensões
        [subjectAltName] => DNS:b2wdigital.com, DNS:www.submarino.com, ... (um monte de entradas DNS)

No teste que fiz, o certificado tinha 31 URLs. Para obtê-las, basta quebrar a string (separa por vírgulas) e ver as entradas que são "DNS":

// os valores estão separados por vírgula e espaço
$names = explode(", ", $certinfo['extensions']['subjectAltName']);
$lista_urls = []; // lista que vai guardar as URLs
foreach ($names as $name) {
    $v = explode(":", $name); // DNS: url
    if ($v[0] === "DNS") {
        $lista_urls[] = $v[1];
    }
}
print_r($lista_urls);

Eu coloquei if ($v[0] === "DNS") porque esta extensão pode ter outros tipos de informações além de "DNS" (neste caso não tem, mas a definição desta extensão prevê vários tipos diferentes). A lista de URLs é bem grande (de 0 a 30, omiti vários por questões de brevidade):

Array
(
    [0] => b2wdigital.com
    [1] => www.submarino.com
    [2] => *.thebestoff.com.br
    [3] => *.b2w.io
    [4] => www.soubarato.com
    [5] => *.americanas.com.br
    [6] => *.soubarato.io
    [7] => *.soubarato.com.br
    [8] => *.submarino.com.br
    ....

Aliás, um dos muitos nomes desta lista é da URL que você usou para obter o certificado: *.submarino.com.br.


Para a data de validade, há dois campos:

[validTo] => 200204120000Z
[validTo_time_t] => 1580817600

O primeiro é a data e hora em UTC: 200204120000Z. Os 2 primeiros dígitos (20) são o ano (no caso, 20 equivale a 2020), depois vem o mês (02 -> fevereiro), o dia (04) e o horário (120000 -> 12:00:00 -> meio-dia). O Z no final indica que esta data/hora está em UTC.

O segundo valor (1580817600) é o timestamp - a quantidade de segundos desde o Unix Epoch, ou seja, 1580817600 segundos depois de 1970-01-01T00:00Z.

Ambos correspondem à mesma data/hora, então você pode escolher qualquer um para obter a data de validade:

// usando o valor do timestamp
$dt = new DateTime('@' . $certinfo['validTo_time_t']);
echo "Data de validade:". $dt->format('Y-m-d H:i:s P');

// usando a string 200204120000Z
$dt = DateTime::createFromFormat('ymdHisP', $certinfo['validTo']);
echo "Data de validade:". $dt->format('Y-m-d H:i:s P');

Ambos imprimem:

Data de validade:2020-02-04 12:00:00 +00:00


Outros campos

Para pegar mais campos, basta observar a saída de print_r. A sua variável $certinfo nada mais é que um Array com várias entradas, uma para cada campo do certificado. Alguns são strings, como o name:

[name] => /C=BR/ST=Rio de Janeiro/L=Rio de Janeiro/O=B2W COMPANHIA DIGITAL/OU=Tecnologia/CN=b2wdigital.com

Outros podem ser Arrays, como o caso do subject que vimos acima. Basta fazer $certinfo['nome_do_campo'] e em seguida veja se esse campo é uma string, Array, etc e trate-o de acordo.

Além disso, name e subject na verdade são o mesmo campo, apenas em formatos diferentes (name tem uma string com todos os valores e subject tem esses valores devidamente quebrados em um Array).

Essa redundância também acontece com outros campos, como aconteceu com a data de validade acima (a mesma data em 2 formatos diferentes). Outro campo que tem isso é o Serial Number, que tem o mesmo valor em base decimal e hexadecimal:

[serialNumber] => 4187706408991266263283860591637795211
[serialNumberHex] => 032685DDE5C5A2AE141685650B49918B

Enfim, cada campo vai ter seu formato próprio. E cada certificado pode ou não ter determinados campos (nome, data de validade e serial number todos terão, mas DNS Names nem sempre, por exemplo). Infelizmente a documentação da função openssl_x509_parse não diz qual o formato do Array retornado:

The structure of the returned data is (deliberately) not yet documented, as it is still subject to change.

A estrutura dos dados retornados é (deliberadamente) não-documentada, pois está sujeita à mudanças.

Mas é possível saber o que cada campo pode ter, lendo a RFC 5280 (um documento chatíssimo, mas muito importante para entender a estrutura de um certificado e o tipo de dados que podem estar em cada campo).

E no caso de certificados emitidos no Brasil, você pode consultar a ICP-Brasil. Você pode ver a lista de Autoridades Certificadoras, e no site de cada uma deve ter (geralmente tem) um link para as respectivas políticas de certificado. Geralmente é um documento PDF detalhando quais campos são obrigatórios e opcionais e o que pode ter em cada um. É um pouco mais específico que a RFC, já que esta define vários campos opcionais e/ou deixa em aberto os tipos de dados que podem ter. Já a política de certificado é mais específica (para eCPF, por exemplo, define qual campo vai ter o CPF etc).

Geralmente os certificados possuem o link para o site da Autoridade Certificadora que contém as políticas de certificado. No caso do certificado em questão, a URL está na extensão certificatePolicies:

    [extensions] => Array
        (
            .....
            [certificatePolicies] => Policy: 2.16.840.1.114412.1.1
  CPS: https://www.digicert.com/CPS
Policy: 2.23.140.1.2.2

Então basta pegar a URL que está depois de "CPS:"

// cada valor está em uma linha, então eu separo por \n
$policies = explode("\n", $certinfo['extensions']['certificatePolicies']);
foreach($policies as $p) {
    // limitar o array $v a no máximo 2 elementos (para não quebrar o http://...)
    $v = explode(":", $p, 2);
    if (trim($v[0]) === "CPS") {
        echo trim($v[1]); // URL da Autoridade Certificadora
    }
}

No caso, a saída foi:

https://www.digicert.com/CPS

Entrando neste site, há vários links com o texto "DigiCert Certificate Policy (CP)", que aponta para um PDF contendo a política de certificado. Cada link aponta para um documento diferente, pois depende da data em que o certificado foi emitido (as políticas de certificado podem mudar com o tempo). No caso do certificado em questão, a data de emissão está no campo validFrom:

[validFrom] => 181105000000Z

No caso, 5 de novembro de 2018. Procure o link correspondente a esta data e terá o PDF correto. Também é um documento bem chato, e geralmente tem as definições de cada campo (mas às vezes pode ter somente definições "genéricas", ou dizer "conforme RFC5280" ou ainda apontar para outros documentos complementares - enfim, não é fácil...)

Veja também o documento de certificate profiles, que detalha os campos que são obrigatórios e opcionais.

3
  • Muito bem, testarei isso mais tarde para ver se funciona, e a respeito da chave pública como pegaria? E calcular quanto tempo falta para expirar a partir da data de hoje? Commented 8/11/2018 às 19:37
  • 1
    @aleque_b Sobre a chave pública, aqui tem um exemplo. Sobre a data, a variável $dt contém uma data, e vc pode pesquisar (aqui no site deve ter vários exemplos) como calcular diferença entre datas. Como já disse, faz tempo que não programo em PHP, desculpe não poder ajudar mais. De qualquer forma, se quiser usar a chave pública, aí acho que já é o caso de abrir outra pergunta, até para deixar o site mais organizado (evita-se fazer muitas perguntas de uma vez, mesmo que relacionadas; é melhor uma pergunta focada por tópico)
    – hkotsubo
    Commented 8/11/2018 às 22:11
  • Tranquilo, vou testar este código e darei meu feedback depois Commented 9/11/2018 às 10:55

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .