EJBCA CA 更新

Question

我正在寻找关于如何在 EJBCA 中成功更新 CA 的明确答案。我们已经有数千个由 EJBCA 颁发的客户端证书，它实际上是由外部 CA 签名的子 CA。这个过程确实记录在这里https://www.ejbca.org/docs/Renewing_a_SubCA_Signed_by_an_External_CA.html，但它没有明确说明已经颁发的客户端证书会发生什么。他们会继续通过新 CA 成功验证吗？

Answer 1

该链接提供了两个更新密钥的选项：

1。使用相同的 CA 签名密钥

如果您参考 RFC 3647，这是 renewal 的正确定义。在这种情况下，密钥保持不变，证书主题保持不变。实际上，新证书与旧证书相同，尽管日期不同。

信赖方将像信任原始证书一样信任此证书。

2。生成新的 CA 签名密钥

正确的说法是re-key。键发生变化，主题保持不变。就任何依赖方而言，该证书是不同的证书。这可能意味着您需要做更多的工作。

您首先需要确定原始 CA 证书会发生什么。它会过期或被撤销，还是仍然有效？

如果它即将停用，您需要替换由该原始 CA 证书颁发的所有证书，因为它们只会通过原始 CA 进行验证。

如果不是，并且您出于其他原因重新键入密钥，例如原始 CA 证书的 CRL 变得太大而无法管理，则无需急于更换所有订户证书。旧 CA 证书仍将验证这些证书，而新 CA 证书颁发的订阅者证书将由新 CA 证书验证。