Это значит, что технологически срок действия ЗК ЦС равен сроку действия открытого ключа?

Значит, если предположить, что гипотетический УЦ не использует HSM, использует Крипто-Про CSP и выдаёт клиентам сертификаты сроком действия на 1 год, на одном ЗК ЦС может "жить" только одно поколение клиентов, а фактически у такого УЦ постоянно будут 2 цепочки сертификатов?

Пардон за стиль изложения :-)
Имелось ввиду следующее:

ЦС первые 15 месяцев своей жизни выдаёт сертификаты клиентам 1 поколения (срок действия - 12 месяцев), после чего происходит плановая замена сертификата ЦС и начиная с 16 месяца ЦС выдает сертификаты клиентам 2 поколения.
Клиенты первого поколения поддерживаются засчет выпусков СОС на первом ключе ЦС.
Клиентам второго поколения выдаются сертификаты на втором ключе ЦС.
У УЦ как цельной сущности - 2 цепочки сертификатов:

ЦертЦС#1 -> СОС_ЦертЦС#1;
ЦертЦС#2 -> СОС_ЦертЦС#2;

Отредактировано пользователем 23 ноября 2011 г. 20:45:33(UTC)  | Причина: Не указана

Вполне :-) Спасибо за полные ответы :-)

Здравствуйте!

Максимальный срок действия закрытого ключа подчиненного (промежуточного) УЦ зависит от того СКЗИ, которым он используется. Если это СКЗИ "КриптоПро CSP" - то 1 год и 3 месяца для подписывания сертификатов и CRL + 21 месяц только для подписывания CRL. Если это ПАКМ "Атликс HSM", то 5 лет.