Имеет ли срок истечения срока действия сертификата эмитента на срок действия предмета?

Question

Если эмитент сертификата выдает сертификат, срок действия которого истекает после истечения срока действия собственного сертификата эмитента, будет ли выданный сертификат по-прежнему действовать после истечения срока действия сертификата эмитента?

Чтобы быть более ясным, позвольте мне привести пример: I = Эмитент C = Выданный сертификат

, если я создал C в 2007 году с датой истечения 2017 года и I свидетельство истекает в 2010 году будет ли сертификат C действителен в 2012 году?

Answer 1

Клиенты должны проверять каждый сертификат в цепи на достоверность. Таким образом, если у вас есть корень, который выдает сертификат для ЦС подписи, который выдает сертификат идентификации, вашему клиенту необходимо будет проверить, действительно ли ваш сертификат удостоверения действителен (все еще в действительный период и не отменен), то ваши подписавшие CA сертификат действителен (все еще в действительный период и не отменяется), а затем корень (все еще в действительный период дат и не отменен и, надеюсь, находится в вашем хранилище доверия, так как это единственный способ доверять этой цепочке).

Таким образом, каждый сертификат в цепочке должен оставаться действительным для вашего сертификата. Если сертификат эмитента истекает до выданного сертификата, выданный сертификат не должен быть действительным.

Answer 2

Просто дать авторитетный источник для того, что другие уже говорили: RFC 5280 состояния в разделе 6.1.3

Основных обработка действий путей должны быть выполнен для сертификата я (для всех я в [ 1..n]) приведены ниже.

Одним из таких действий является проверка (2)

Срок действия сертификата включает текущее время.

Понятие текущего времени здесь интересно - к примеру, если в 2012 году вы получите документ, который был подписан в 2010 году и дополнительно несет RFC3161 метка на нем, то подпись будет считаться действительным, так как I и C были действительны в «текущем времени» (2010). Однако без отметки времени вам придется отказаться от подписи, поскольку не хватает криптографически достоверной информации во время подписания, ваш единственный шанс - предположить «сейчас» как «текущее время»; и в 2012 году я больше не был действителен.