Я обновил сертификат ЦС, теперь все новые сертификаты в пути сертификации указывают последний актуальный сертификат ЦС, при этом предыдущие сертификаты ЦС не аннулируются, а висят в списках сертификатов ЦС



Вопросы:

1. Правильно ли я понял, что все пользовательские сертификаты, подписанные более ранним сертификатом ЦС окажутся "без доверия" (или как-то так), если я аннулирую этот предыдущий сертификат ЦС?

2. Как поступить, если ЦС оказался скомпрометирован:

• компрометация актуального сертификата ЦС
  
• компрометация вообще всех сертификатов ЦС

3. Я сделал самый свежий сертификат (см фото выше) со сроком годности 3 года - до 2023. Предыдущие сертификаты имели срок годности 5 лет, т.е. до 2025. Логически такая ситуация возможна (проверено, проблем с этим нет ) но как это можно интерпретировать физически и в условиях реального УЦ?

4. Как правильно выпускать новый сертификат ЦС и аннулировать скомпрометированный?

АХТУНГ! Когда я пишу сертификат ЦС я имею в виду самоподписный сертификат, который ЦС выдает сам себе.

Отредактировано пользователем 10 апреля 2020 г. 15:29:17(UTC)  | Причина: 4.

3. Я имею в виду ситуацию, когда, например, изменился регламент УЦ, и сертификат будет иметь срок годности 3 года, а не 5 лет, такое имеет место быть?

Обязательно ли вообще при проектировании архитектуры УЦ создавать подчиненный ЦС?

Достаточно ли будет одного корневого ЦС для выпуска сертификатов, если они будут нужны только для поддержки документооборота внутри небольшой организации/небольшого количества пользователей документооборота?