К сожалению, единственный способ обновить ключ корневого ЦС — заменить его более новой, надежной парой ключей, а затем самостоятельно подписать новый сертификат корневого ЦС с помощью новой пары.
Следующие шаги зависят от того, решили ли вы использовать подчиненные центры сертификации в своем проекте PKI.
Если вы не пошли на подчиненные ЦС, вам нужно будет переподписать1 все сертификаты конечного объекта с этим новым корневым ЦС, и подписчики должны настроить свои службы/приложения для представления своего недавно подписанного сертификата конечного объекта в своей цепочке.
Если вы выбрали подчиненные ЦС, вам нужно будет повторно подписать только подчиненные ЦС с этим новым корневым ЦС. Затем вы должны предоставить повторно подписанный(е) сертификат(ы) подчиненного ЦС всем подписчикам конечных объектов, которые должны настроить свои службы/приложения для представления этого повторно подписанного сертификата подчиненного ЦС в своей цепочке. Примечание: не меняйте ключ2 подчиненный ЦС здесь, в противном случае вам придется заново подписывать все сертификаты конечного объекта с помощью подчиненного ЦС с измененным ключом.
В любом случае вам нужно будет распространить новый корневой сертификат ЦС среди всех доверяющих сторон и настроить их всех так, чтобы они доверяли этой новой цепочке.
В зависимости от размера вашего имущества, это может быть довольно серьезное предприятие. В обоих сценариях:
- Вы повторно вводите свой корневой ЦС один раз;
- Владельцам ваших служб/приложений потребуется перенастроить свою службу для использования заменяющих сертификатов ЦС в цепочке;
- Вам нужно будет распространить корневой ЦС на все проверяющие стороны;
Если вы не выбрали подчиненный ЦС, вам нужно будет повторно подписать все сертификаты конечных объектов тоже.
1 Переподписать означает, что сертификат просто переподписывается ЦС. Единственный атрибут, который изменится, — это подпись и, возможно, даты выпуска/истечения срока действия.
2 Повторный ключ означает, что для сертификата создается новая пара ключей, и сертификат повторно подписывается ЦС. Ни один атрибут, кроме открытого ключа, и, возможно, даты выпуска/истечения срока действия не изменяются.
