Converter PEM para PDF

Talvez seja necessário inserir um certificado ou uma chave pública em um PDF para um registro de auditoria, caso de suporte, pacote de aprovação, impressão ou documentação de longo prazo. O PDF é apenas um instantâneo legível; servidores, navegadores e ferramentas criptográficas ainda exigem o formato original de certificado PEM, DER, PKCS#12 ou outro formato compatível.

O que PEM contém

PEM, originalmente “Privacy-Enhanced Mail”, é uma codificação de texto e uma convenção de contêiner para dados criptográficos. Ele armazena blocos codificados em Base64 entre rótulos como -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Certificate authorities, OpenSSL, web servers, reverse proxies, VPNs, cloud services e ferramentas relacionadas a SSH usam arquivos PEM para certificados X.509, cadeias de certificados, certificate-signing requests (CSRs), chaves públicas e chaves privadas. As extensões de arquivo não são identificadores confiáveis: .pem, .crt e .cer podem conter texto PEM, enquanto .cer também pode conter dados binários DER.

Inspecione o rótulo do bloco antes de compartilhar ou converter um arquivo. Arquivos que contêm BEGIN PRIVATE KEY, BEGIN ENCRYPTED PRIVATE KEY, BEGIN RSA PRIVATE KEY ou BEGIN EC PRIVATE KEY contêm material de chave privada e não devem ser enviados para conversores online, por e-mail ou incluídos em documentação de rotina.

O que PDF oferece

PDF é um formato de documento de layout fixo para visualização, impressão e troca de documentos. Um PDF baseado em texto preserva o texto PEM selecionável e os campos de certificado decodificados, facilitando a revisão e a cópia de números de série, impressões digitais SHA-256, subjects, issuers e datas de validade em comparação com uma captura de tela ou uma página digitalizada.

Um PDF não pode ser usado como um arquivo ssl_certificate, importado como um certificado ou chave comum, nem passado ao OpenSSL como uma entrada PEM. Converter um arquivo PEM para PDF não o valida, não altera suas propriedades criptográficas nem o torna adequado para a configuração de TLS.

Criar um registro em PDF a partir de um certificado

Para um certificado X.509, decodifique seus campos localmente com OpenSSL:

openssl x509 -in certificate.pem -text -noout > certificate-details.txt

Verifique a identidade e a validade do certificado antes da exportação:

openssl x509 -in certificate.pem -noout -subject -issuer -dates -fingerprint -sha256

Para manter o bloco de certificado público original e seus campos decodificados, crie um registro de texto:

{
  echo "Original PEM"
  cat certificate.pem
  echo
  echo "Decoded certificate details"
  openssl x509 -in certificate.pem -text -noout
} > certificate-record.txt

Abra certificate-record.txt no LibreOffice Writer, Microsoft Word ou outro editor que exporte texto corretamente. Use uma fonte monoespaçada, como Consolas, Courier New ou Liberation Mono, e exporte com LibreOffice File → Export As → Export as PDF ou Word File → Save As → PDF.

O LibreOffice pode realizar uma conversão básica pela linha de comando:

libreoffice --headless --convert-to pdf certificate-record.txt

No Windows, File → Print → Microsoft Print to PDF também funciona. No macOS, use File → Print → Save as PDF. Verifique visualmente o PDF resultante, pois a quebra de linha pode dividir linhas longas de Base64 ou impressões digitais.

Outros tipos de bloco PEM

Para um CSR, use:

openssl req -in request.pem -text -noout > request-details.txt

Para uma chave pública PEM, use:

openssl pkey -pubin -in public-key.pem -text -noout > public-key-details.txt

Não gere um registro em PDF a partir de uma chave privada, a menos que um procedimento de segurança controlado exija explicitamente isso. Se essa documentação for inevitável, oculte o próprio bloco da chave e registre somente informações não secretas, como o algoritmo da chave, o tamanho, a impressão digital da chave pública e a referência de manuseio.

Conversão online e limites de compatibilidade

CloudConvert e Zamzar podem converter um arquivo .txt preparado para PDF, mas renderizam texto; eles não decodificam, validam ou compreendem objetos PEM de forma confiável. Use-os somente para material público não sensível após revisar o conteúdo do arquivo. Mantenha cadeias de certificados, dados de identidade de client-certificate, nomes de host internos e todas as chaves privadas em sistemas locais sempre que possível.

Uma cadeia PEM contém vários blocos BEGIN CERTIFICATE. Preserve a ordem deles no PDF, pois as implementações de TLS normalmente exigem o certificado leaf seguido pelos certificados intermediários; não inclua o certificado root, a menos que o procedimento de recebimento o solicite especificamente.

Exporte texto selecionável em vez de um PDF digitalizado ou rasterizado. Uma imagem rasterizada pode dificultar a cópia, a pesquisa, a comparação e a verificação independente de uma impressão digital ou de um bloco PEM.

Assinar digitalmente um PDF existente com um certificado PEM é uma operação separada, não uma conversão de arquivo. Isso exige a chave privada correspondente, o certificado de assinatura e, frequentemente, sua cadeia, além de um software de assinatura de PDF compatível com credenciais PEM; nunca divulgue a chave privada apenas para criar ou assinar um PDF.