Плавный переход на новый корневой сертификат

[agievich]

Описать плавный переход на новый корневой сертификат.

Набросок:

• кроме нового корневого сертификата выпускается связной сертификат, link-cert. В нем указывается новый открытый ключ, но подписывается link-cert на старом (действующем) личном ключе. Срок действия link-cert не выходит за пределы срока действия старого сертификата;
• старый и новый сертификаты действуют параллельно в течение некоторого времени. СОС (CRL) подписываются на старом и новом открытых ключах. В подчиненных сертификатах в расширении CDP = CRLDistributionPoints указываются разные URL, по которым размещаются СОС.

Ресурсы:

• What is a link certificate?;
• What's the goal behind signing a CRL with an old certificate key?;
• The Austrian Country Signing CA;
• The German Country Signing Certificate Authority;
• Выпуск новых сертификатов УЦ.