Обновление CA EJBCA

Я ищу четкий ответ о том, как успешно обновить ЦС в EJBCA. У нас есть тысячи клиентских сертификатов, уже выпущенных EJBCA, которые на самом деле работают как subCA, подписанные внешним CA. Этот процесс действительно задокументирован здесь https://www.ejbca.org/docs/Renewing_a_SubCA_Signed_by_an_External_CA.html, но не ясно, что произойдет с уже выпущенными клиентскими сертификатами. Будут ли они по-прежнему успешно проверяться через новый ЦС?


pki ejbca
person JackSparrow    schedule 22.01.2019    source источник

Ответы (1)


arrow_upward
2
arrow_downward

Эта ссылка дает два варианта обновления ключа:

1. Использование одного и того же ключа подписи ЦС

Если вы ссылаетесь на RFC 3647, это правильное определение обновления. В этом случае ключи остаются прежними, а субъект сертификата остается прежним. По сути, новый сертификат такой же, как и старый, хотя и с другими датами.

Доверяющие стороны будут доверять этому сертификату так же, как они доверяли оригиналу.

2. Генерация новых ключей подписи ЦС

Правильным термином для этого является повторный ключ. Тональность меняется, а Тема остается прежней. Сертификат является другим сертификатом с точки зрения любых полагающихся сторон. Это может означать больше работы для вас.

Сначала вам нужно выяснить, что произойдет с исходным сертификатом ЦС. Истечет ли срок его действия, будет ли он отозван или будет по-прежнему действовать?

Если он устаревает, вам необходимо заменить все сертификаты, выданные этим исходным сертификатом ЦС, поскольку они будут проверяться только через исходный ЦС.

Если нет, и вы меняете ключи по другим причинам, например, CRL исходного сертификата ЦС стал слишком большим для управления, то нет необходимости спешить с заменой всех ваших сертификатов подписчика. Старый сертификат ЦС по-прежнему будет проверять эти сертификаты, в то время как сертификаты подписчика, выданные новым сертификатом ЦС, будут проверяться новым сертификатом ЦС.

person garethTheRed    schedule 22.01.2019
comment
Спасибо. Мы смогли выполнить продление, используя оба варианта, которые вы перечислили. Как и в нашем случае, исходный сертификат CA все еще действителен, поэтому наши конечные пользователи не ожидают получения новых сертификатов. Решение между вариантами 1 и 2 зависит от политики кибергигиены/безопасности. Мы проверили оба, и оба работают хорошо. - person JackSparrow; 18.05.2020