我们是否应该在使用相同的CSR更新后重新部署罐子？

Question

我们的Java代码签名证书将在一个月后到期，我们只需使用Verisign续订即可。我假设这足以避免我们的客户看到任何与证书相关的错误消息。

我们是否应该使用新证书再次签署罐子并将其重新部署到客户端？

提前致谢

Answer 1

是的，您需要再次签名。证书本身将告诉它自己的过期日期，证书随您的包一起部署。这是一个全新的证书（即使发行人经常将其称为“续约”）。

安装人员和其他验证软件通常不会使用互联网来检查证书的有效性。相反，他们将检查证书文件中的过期日期（打包到签名的JAR文件中），并通过检查计算的内置颁发者证书（CA）列表来检查证书的有效性。在此过程中唯一使用Internet的方法是下载撤销列表 - 在到期日之前撤销的证书数据库 - 但这通常不是实时完成的，而是按计划进行的。

Answer 2

  

与digicert支持团队讨论

不，如果您在签名过程中使用了timestamp参数，那就不行了。

请注意此示例：https://www.digicert.com/code-signing/java-code-signing-guide.htm#jarsigner

-tsa http://timestamp.digicert.com参数

这使得您的签名在可预见的将来有效。如果使用时间戳

，则无需续订和重新签名该特定文件

您只需要续订证书即可签署您创建的未来新jar文件

Answer 3

是。您有新的签名证书，当前部署的版本使用旧证书进行签名，因此对您的用户来说没有任何改变。

要考虑新证书，您必须使用新证书再次签署JAR文件，并将新签名文件重新部署到客户端。