6
证书颁发机构根证书的有效期和续订
2004年，我在Linux上使用OpenSSL以及OpenVPN随附的简单管理脚本建立了一个小型证书颁发机构。根据我当时发现的指南，我将根CA证书的有效期设置为10年。从那时起，我已经为OpenVPN隧道，网站和电子邮件服务器签署了许多证书，所有这些证书的有效期也为10年（这可能是错误的，但是我当时并不了解）。 我找到了许多有关建立CA的指南，但是关于其管理的信息很少，尤其是有关根CA证书到期时必须执行的操作的信息，这将在2014年的某个时候发生。因此，我有以下内容问题： 根CA证书到期后具有有效期的证书会在根证书到期后立即失效，还是会继续有效（因为它们是在CA证书的有效期内签名的）？ 需要什么操作来更新根CA证书并确保在其有效期内顺利过渡？ 是否可以以不同的有效期以某种方式重新签名当前的根CA证书，并将新签名的证书上传到客户端，以便客户端证书保持有效？ 还是我需要用新的根CA证书签名的新客户端证书替换所有客户端证书？ 根CA证书应何时更新？即将到期或在到期前的合理时间？ 如果根CA证书的更新成为一项主要工作，那么我现在可以做些什么更好的措施，以确保在下一次更新时进行更平滑的过渡（当然，将有效期设置为100年）？ 由于我对某些客户端的唯一访问是通过使用当前CA证书签名的证书的OpenVPN隧道，因此情况变得有些复杂，因此，如果我必须替换所有客户端证书，则需要复制将新文件发送给客户端，重新启动隧道，交叉我的手指，希望以后再出现。