我们正在更新 SSL 证书，主要是为了强制使用 SHA256。据我了解，必须为相同的主机名颁发新的证书签名请求 (CSR) 并进行签名。这将为我们提供要在我们的密钥库中导入的新证书。
但是，当我更新证书时，这是否会立即撤销旧证书，以便在新创建的证书导入我的密钥库之前没有人可以登录我的网站？是否存在重叠时间，在此期间我仍然可以让我的网站在旧证书下运行，直到我切换到新证书，例如，凌晨 2 点没有人访问我的网站？顺便说一句：我的证书颁发机构 (CA) 是 Entrust Technologies。
SSL 证书续订和因吊销而停机
信息安全
证书吊销
2021-08-23 18:26:55
2个回答
更新 SSL 证书的功能等同于生成新证书；这不是撤销，“旧”证书将继续被接受为有效，假设它尚未过期。对其更换没有停机时间/维护窗口要求。
但请注意，由于SSL SHA1 Hashing Deprecation，许多证书颁发机构 (CA) 正在迅速采取行动，在 2016 年底前逐步淘汰 SHA1，转而支持 SHA256。这意味着许多 CA 正在轻松“重新加密”现有 SHA1 - 基于 SSL 证书，使用新的 SHA256 散列算法，提供现有 SSL 证书的快速再生，通常只需单击几下。GoDaddy 是一家主要的 CA/域注册商，通过他们的Starfield SSL CA 服务实现了这一功能。
通常不明确的是，将 SHA1 证书重新设置为 SHA2 证书可以包括对现有证书的隐式撤销。Starfield 为 SHA1 证书重新加密的底层流程会生成撤销请求，立即使您当前的 SSL 证书无效。没有关于这个重要细节的文档或警告（！）。许多人会认为请求重新加密证书等同于证书更新，而实际上它是撤销请求，加上新证书的生成。想象一下，单击“重新生成密钥”然后下载新证书后，您可能会感到惊讶，可能正在等待稍后的安装，并且在几个小时内您的 SSL 端点就会失效。不好玩。因此，在 SHA1 弃用过渡期间重新键入 SHA1 证书时要非常小心。
从 SHA1 迁移到 SHA2 证书时要注意的另一点是，确保同时将新的 CA 中间证书链下载并安装到您的密钥库中。SHA1 到 SHA256 的迁移通常意味着新的 SHA256 证书需要密钥库中的新中间 SHA256 证书链。不这样做会导致基础证书失效。
更新证书不会撤销当前证书，即两者可以共存且有效。如果私钥可能被泄露，即如果攻击者可能滥用证书错误地将自己验证为有问题的站点，则撤销主要是完成的。