旧客户端的 SSL 证书和具有相同 pub/private 密钥的新证书

Question

情况：我们无法更新客户端设备上的der 文件。我们网络服务器上的 SSL 证书即将到期。

是否可以在不更换客户端证书的情况下更新服务器的 SSL 证书？

我们希望遵循本指南：https://www.smashingmagazine.com/how-to-issue-a-new-ssl-certificate-with-an-old-ssl-key/

但是，我们不确定它是否有帮助。

问题是：

der 文件（在客户端）是否仅包含公钥，并且使用上面链接中描述的技术更新 SSL 证书是安全的（保持相同的 pub/private 密钥）。

在不替换der 文件的情况下，它可以在客户端设备上运行吗？或者der文件不仅包含SSL证书的公钥，还包含其他一些信息？

Answer 1

恐怕，但根据您的原始帖子和说明，客户端将期望 Web 服务器 与客户端设备上的 DER 文件中存储的服务器证书相同。客户端执行精确的二进制副本比较（不仅是公钥）。

任何替换服务器证书的尝试都将导致客户端连接失败。如果您打算替换 Web 服务器上的证书，您还必须更新客户端设备。

不幸的是，有很多有缺陷的 HPKP 实现（老实说，没有看到任何可靠的实现）在更改服务器证书之前都可以正常工作。为了正确处理服务器证书替换，客户端必须能够存储至少两个服务器证书，现有的和新的。这是高级服务器证书替换过程：

1. 提前从 CA 获取新的服务器证书。
2. 通过并排包含新证书来更新应用程序。当客户端更新其设备上的应用程序时，客户端应用程序将信任现有证书和新证书。
3. 让客户有时间在他们的设备上更新应用程序。理想情况下，您应该等到所有客户端都使用更新的证书更新了应用版本。
4. 更改服务器绑定中的 SSL 证书。
5. 一段时间后，您可以通过从信任库中删除过期证书来再次更新客户端证书。

只有这个步骤序列可以保证不间断的证书固定更新。