java - 更新-更新 java truststore 中的自签名 CA 证书

Question

我构建了一个 Java 应用程序，它向外部授权客户端公开网络服务。 Web 服务使用带有证书身份验证的 WS-security。基本上我们充当自定义证书颁发机构 - 我们在我们的服务器上维护一个 java truststore 并签署并向其添加客户的证书。目前我们有手动注册过程，需要 WS 客户端上传他们的证书签名请求。我们签署 CSR，使用命令行中的 keytool 将证书添加到我们的 java 信任库，并将签名的证书与我们的 CA 证书一起返回给客户端。反过来，客户端使用他们的私钥对他们的 soap 消息有效负载进行签名，并将签名的证书嵌入到消息中。服务器端解密数字签名并验证嵌入式证书是否已签名并且在满足客户端请求之前与我们的信任库匹配。

虽然有点痛苦(因为体力劳动)，但此设置运行良好。现在我意识到我们的根 CA 证书即将到期，因此我正在寻找设置维护策略。我应该如何续订自签名根 CA 证书？看起来我将不得不创建新的并替换原来的。这将影响所有必须接收新证书和导入新 CA 证书的客户端。这是正确的理解还是有更好的方法来处理这种情况？

如果重要的话，我已经使用 openssl 生成了原始 key 对。

openssl req -x509 -newkey rsa:1024 -keyout cakey.pem -out cacert.pem -config openssl.cnf

Answer 1

Keeping the same private key on your root CA allows for all certificates to continue to validate successfully against the new root; all that's required of you is to trust the new root.

More info