ssl - 续订 SSL 根 CA 证书 - 野外的客户端程序需要更新吗？

Question

这是我的情况:

• 我有一个要分发的客户端应用程序 - 我们将其称为 MyClient。
• MyClient 与我们的其中一台服务器进行一些 SSL 通信。
• MyClient 中嵌入了根 CA，因此它可以对服务器证书进行适当的验证。

现在，假设几年过去了，根 CA 到期并续订。

这是否意味着我需要在野外给 MyClient 打补丁？

换句话说，更改证书上的有效期是否会导致它不再与 MyClient 中内置的根 CA 匹配？

附录:假设我写我的客户不验证证书的日期(但其他一切)。那么，当根CA过期，重新签发的时候，还需要打补丁吗？除了日期之外，影响验证的其他部分是否会发生变化？

Answer 1

如果您的客户端确保 SSL 服务器证书由特定的根 CA 颁发并且该根 CA 包含在客户端中，那么是的，您将需要修补您的客户端以替换根 CA 证书。

执行此操作的好方法很少。通常情况下，根 CA 证书的生命周期很长，而使用生命周期较短的中间 CA 来颁发 SSL 证书，但听起来情况并非如此。

往好的方面看，我不知道旧的根 CA 证书使用了哪些算法，但希望新的根 CA 证书有望使用更大的 key (2048 位 RSA 而不是 1024 位或 512 -bit) 和更好的散列算法(SHA1 或更好，而不是 MD5)，因此这可能是提高安全性的好机会。