是否可以更新证书的联系信息(FN/LN、OU、组织、..)?

信息安全 证书 x.509
2021-08-15 18:33:49

创建自签名证书时,系统会要求您输入一些信息(名字、姓氏、组织单位、组织、城市、州......)。以后可以更新这些字段吗?(例如,我的公司更改了其法定名称,现在我想更新“组织”名称以反映新名称。)

4个回答

不,如果您更改了证书上的这些信息,则指纹会更改,并且签名无效。

您将需要颁发新证书。

我喜欢将证书与驾驶执照进行比较。你能用记号笔更改驾照上的名字、姓氏、地址吗?不,您需要联系政府并打印新的许可证。

稍微不那么时髦的是,证书基本上是来自受信任的第 3 方(CA)的签名声明,上面写着“这个公钥属于这个人”。您提到的所有字段(名字、姓氏、组织单位、组织、城市、州……)都是“此人”的一部分。如果您能够在未经 CA 同意或不知情的情况下自由修改这些字段,那么这将完全违背证书的目的。

不,更改证书中的任何字段都会破坏签名。您需要获取包含更新信息的新证书。这就像问“我有 rsc.com 的证书,我可以把它改成 google.com 的证书吗?”。

规范中,证书的所有字段都在一个名为“待签名证书”的结构中,并添加了签名。

虽然其他答案正确地指出,严格来说,没有办法修改证书,但这并不是故事的结局。

证书包括三个部分:

  • 公钥
  • 名称(主题,也可能是 SubjectAltNames)
  • 签名将前两者绑定在一起

虽然在不替换签名的情况下也无法更改名称,但这并不意味着您不能重用密钥对。您可以只使用旧密钥对并使用新名称重新颁发证书。这可能会简化重新颁发证书的处理。(这也是处理到期证书续订的一种方法。)

根据应用程序,您可以更进一步并重用旧证书中的大部分信息,例如有效期和序列号。但是,这仍然可能无法使两个证书完全互换,因为自签名时颁发者名称无论如何都会改变。