为什么CA证书有很长的到期时间而不是他们签署的证书？

Question

我之前看过https://www.google.co.uk/背后的证书，并注意到，通常情况下，证书将在一年后到2013年到期。

我查了一下链条，注意到根证书GeoTrust证书的有效期为20年，直到2018年才到期。

看起来很奇怪，因为签名证书的完整性似乎比他们签署的证书更重要。为什么root权限可以长期存在但是他们签署的证书往往有很短的到期时间？

Answer 1

根签名证书的私钥通常比服务器证书的私钥更好。通常，单个服务器证书将以未加密的方式存储在有问题的Web服务器上，因此服务器可以在重新启动后重新启动而无需人工干预。但签名密钥将更安全，通常是密码保护，而不是面向互联网的服务器，因为如果签名密钥被泄露，它发出的所有证书都变得毫无价值。

对于保护较少的私钥的证书，使用短的到期时间基本上是一种损害限制机制，以防私钥被泄露。