我认为我们需要在这里考虑“离线”一词的定义。

正如您所建议的，以下是相互矛盾的要求：

• 除了颁发/撤销从属 CA 证书时，关闭根 CA。
• 让根 CA 频繁发布 CRL。

我看到最常部署的解决方案是通过防火墙进行“软隔离”或“软脱机”，以便根 CA 仍然可以每天或每小时推送新的 CRL，以由 CDP 或 OSCP 响应者获取并重新发布. 阻止所有其他进出根 CA 机器的流量。

我什至听说过一种巧妙的解决方案，其中 Root CA 将 CRL 数据推送到其音频线路输出插孔上，这是硬件级别的单向端口。

另一件事是，离线根 CA 没有理由不能将其证书吊销列表 (CRL) 发布到另一个在线位置。可以使用以下命令将 CRL 的生命周期延长到非常长的时间段：

certutil -setreg CA\CRLPeriodUnits 6
certutil -setreg CA\CRLPeriod "Years"

您还可以发布仅包含自上次完整 CRL 发布以来已更改的撤销的 Delta CRL。

现在，由于您要从脱机根 CA 吊销证书的唯一时间是如果发生重大事件，那么拥有巨大 CRL 生命周期的风险是什么，您可能永远不会从您的脱机主机吊销任何证书，但如果您这样做并且您希望 CRL 检查来获取它，您仍然可以将该部分放在适当的位置，因此如果您需要它可以工作。

离线 CA 通常是一个有争议的主题，但如果您有一个并遭受重大妥协，您会很高兴拥有它，如果您没有它但需要它，您会后悔的。这是风险与回报的问题。

根 CA 永远不会在它接触网络的意义上联机。使用软盘驱动器、USB 驱动器、音频输出插孔等。Microsoft 拥有完整的文档并且很容易找到，其中将最低生产结构描述为至少两层：离线根和在线企业从属发行者。在线颁发者是颁发所有证书和 CRL 的地方，但在线颁发者的 CRL 除外，它是在离线根上生成并通过上述方式传输的。您每年生成一次该 CRL（或您选择最适合安全要求的任何内容）并将该 CRL 传输到公共 CDP（证书分发点），仅此而已。否则离线的根可能一直被粉掉。