Продление получает новый сертификат, ротация переводит на него работающие конечные точки. Раннее получение не подтверждает фактическое переключение.
PKI и жизненный цикл сертификатов
Продление сертификата
Определение
Продление сертификата — получение нового сертификата до окончания старого, обычно через повторный процесс выпуска для тех же или обновлённых имён.
Также ищут: Certificate renewal · certificate reissue before expiry · обновление сертификата
Зачем это знать
Нужно раздельно планировать новый срок сертификата, жизненный цикл ключа и обновление узлов. Ранний выпуск бесполезен при разрыве сроков или неготовой доставке.
Связи из словаря
Карта понятия
Продление сертификата
Доказательная часть
Что подтверждено
При продлении новый сертификат с новым сроком действия выпускают до окончания текущего.
Граница применимости: Продление в жизненном цикле сертификата.
Получение нового сертификата ещё не означает переход на него: при ротации материал устанавливают на все узлы, проверяют и только затем удаляют старый.
Граница применимости: Различие между продлением и рабочей ротацией.
Новый сертификат и новая ключевая пара — разные результаты. Сам факт продления не подтверждает смену закрытого ключа; решение о смене ключа учитывает его срок использования и возможную компрометацию.
Граница применимости: Сопоставление выпуска сертификата ACME и жизненного цикла ключей NIST; не рекомендует повторное использование скомпрометированного ключа.
Если в условном плане старый сертификат заканчивается в 12:00 UTC, а новый начинает действовать в 12:05 UTC того же дня, между ними есть пятиминутный разрыв. Раннее получение нового файла не закрывает этот разрыв.
Граница применимости: Учебная арифметика интервалов notBefore/notAfter; часы согласованы, иных сертификатов и допусков в примере нет.
План продления учитывает время на подтверждение имён, выпуск, доставку и проверку работающих узлов. Универсальный запас в днях из одного протокола ACME не следует: его выбирают по рискам и процедуре эксплуатации.
Граница применимости: Практический вывод из процесса ACME и управления ключами NIST; не задаёт срок сертификатов конкретного публичного CA.
Граница терминов
Не путать
Продление создаёт новый сертификат, отзыв сообщает о недопустимости прежнего. Новый срок не устраняет компрометацию повторно использованного ключа.
Перед спецификацией
Что проверить
- Укажите срок текущего сертификата.
- Сверьте начало действия нового.
- Проверьте отсутствие разрыва интервалов.
- Примите отдельное решение о ключевой паре.
- Заложите время подтверждения имён и выпуска.
- Оставьте время на доставку и проверку сервиса.
- Не делайте вывод о новой ключевой паре по одному новому сертификату.
Открытые основания
Первоисточники
- Recommendation for Key Management: Part 1 — General
Определяет key-management functions, lifecycle states, cryptoperiods, protection, backup/recovery, compromise и destruction.
- Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
Утверждения: 04
- Recommendation for Key Management: Part 2 — Best Practices for Key Management Organizations
Описывает organizational key-management practices, CA/RA roles, PKI operations и certification path building.
Утверждения: 05