我使用自签名证书来签署客户端证书，我有一个程序来替换此证书，以防私钥被泄露。遗憾的是，这意味着所有客户端证书都将无效。
我正在努力在我的系统上实施PKI，这意味着我可能会感到寒冷＆＃34;根证书，仅用于颁发中间CA，后者又可以签署我的客户端证书。
因此，在具有可靠PKI的完美世界中，我如何从中间证书私钥泄露中恢复，而不让我的客户重新签署所有证书？
我的意思是，截至今天，凭借我的单一自签名证书，我毫不怀疑我必须要求所有客户重新发送CSR并使用全新的私钥重新签署所有证书。让他们被阻止，直到签署新证书为止 但是使用PKI，我认为根证书没有受到损害，可以顺利过渡到新的中间证书吗？平稳的意义，而不是为我的客户中断服务？
例如，我可以想象在两台物理上不同的机器上签署两个中间证书的证书，这样一旦证书被撤销，第二个签名仍然可以保留。我是对的吗？ 有没有＆＃34;行业标准＆＃34;在这件事上？
答案 0 :(得分：1)
正确实施的PKI不会保护您免于重新颁发从受感染的CA签名的所有证书。如果签名CA被泄露，您必须撤销所有证书。 双重签名没有帮助，证书是否被撤销。
在Windows域中，您可以使用Active Directory集成CA并对客户端实施自动注册。 您还可以在企业中实施类似letsencrypt的CA. 博尔德 - ACME CA. https://github.com/letsencrypt/boulder