Din păcate, singura modalitate de a actualiza cheia CA rădăcină este să o înlocuiești cu o pereche de chei mai nouă, mai puternică și, ulterior, să autosemnezi un nou certificat CA rădăcină cu noua pereche.
Următorii pași depind de dacă ați decis să utilizați CA subordonate în proiectarea dvs. PKI.
Dacă nu ați optat pentru CA subordonate, va trebui să semnați din nou1 toate certificatele de entitate finală cu această nouă CA rădăcină și abonații trebuie să își configureze serviciile/aplicațiile pentru a-și prezenta certificatul de entitate finală nou semnat în lanțul lor.
Dacă ați optat pentru CA subordonate, va trebui să semnați din nou doar CA(ele) subordonate cu acest nou CA rădăcină. Apoi, trebuie să oferiți certificatul(ele) CA subordonat resemnat(e) tuturor abonaților entităților finale care trebuie să își configureze serviciile/aplicațiile pentru a prezenta acest certificat CA subordonat resemnat în lanțul lor. Notă: nu reintroduceți tastele2 CA subordonată aici, altfel va trebui să semnați din nou toate certificatele de entitate finală cu CA subordonată re-cheiată.
În ambele cazuri, va trebui să distribuiți noul certificat Root CA tuturor părților de încredere și să le configurați pe toate pentru a avea încredere în acest nou lanț.
În funcție de mărimea proprietății dvs., aceasta ar putea fi o întreprindere destul de importantă. În ambele scenarii:
- Re-cheiați CA-ul rădăcină o dată;
- Proprietarii dvs. de servicii/aplicații vor trebui să-și reconfigureze serviciul pentru a utiliza certificate CA de înlocuire în lanț;
- Va trebui să distribuiți CA rădăcină tuturor părților de încredere;
Dacă nu ați optat pentru un CA subordonat, va trebui să semnați din nou toate certificatele de entitate finală.
1 Resemnare înseamnă că certificatul este pur și simplu resemnat de CA. Singurul atribut care se va schimba este semnătura și, opțional, datele de emisiune/expirare.
2 Re-cheie înseamnă că este generată o nouă pereche de chei pentru certificat, iar certificatul este resemnat de CA. Niciun alt atribut în afară de cheia publică și, opțional, datele de emisiune/expirare nu se modifică.
