Должен ли быть подписан CSR с помощью соответствующего закрытого ключа?

Question

При генерации CSR с помощью OpenSSL у вас есть два варианта: 1) Создание секретного ключа, когда CSR генерируется 2) С помощью закрытого ключа, чтобы получить открытый ключ и использовать открытый ключ для создания CSR

Нужно ли подписывать CSR с соответствующим личным ключом для CA для его проверки?

Гипотетически, что, если у меня есть две пары ключей (PubKey1, PrivKey1, PubKey2, PrivKey2). Первое, что я делаю, - это переместить PrivKey1 в другое место. Есть ли способ, которым я могу использовать PubKey1 для создания CSR (без доступа к PrivKey1), но подписывать его с PrivKey2 для сохранения целостности?

Может кто-нибудь объяснить, почему этот сценарий не будет работать для ЦС?

Я собираюсь вступить в группу, и доступная документация не вдавалась в подробности о роли частного ключа в создании CSR.

Answer 1

Должен ли быть подписан CSR с помощью соответствующего закрытого ключа для CA для его проверки?

Да. Запрос сертификата PKCS   # 10 всегда подписан с закрытым ключом, который соответствует открытому ключу.

Есть ли способ, которым я могу использовать PubKey1 для создания CSR (без доступа к PrivKey1), но подписывать его с PrivKey2 для сохранения целостности?

Нет. Причина, по которой секретный ключ подписывает CSR, заключается в демонстрации CA того, что вы владеете закрытым ключом, который соответствует открытому ключу. Если вы подписываете другой секретный ключ, CA отклонит ваш запрос как недействительный.