Versiones múltiples del certificado de firma SSL

Como señala steffen, hay una diferencia entre la clave pública y la huella digital del certificado. La misma clave pública puede reutilizarse en un nuevo certificado. Un ejemplo común sería reemplazar un certificado que expirará pronto.

Lo triste es que la herramienta y el sitio web de Symantec son, en el mejor de los casos, engañosos y, en el peor, confusos.

Symantec comenzó a tener sistemas operativos y navegadores que utilizan el certificado G5 más reciente (que finaliza en 3b 4a) hace años. Esa es la razón por la cual cuando realizas un análisis obtienes esa cadena. Se necesitaría un navegador y / o sistema operativo muy antiguo para resolver la cadena utilizando el antiguo certificado G5 (finalizando f8 fd).

La cadena que resuelve la herramienta de Symantec no se resuelve. Lo que significa que el último certificado no es un certificado raíz. El certificado raíz que firmó el certificado G5 anterior (finalizando f8 fd) ya no se usa, lo que lo hace doblemente confuso. Muestran una cadena incompleta y la antigua cadena obsoleta.

Versión simple su sitio está bien, su navegador está bien, su sistema operativo está bien. Sin embargo, Symantec no puede molestarse en mantener su propia herramienta actualizada.

  

Entonces, ¿existen realmente dos versiones legítimas diferentes del certificado de VeriSign que se pueden usar para firmar el mismo certificado secundario?

La firma se realiza mediante la clave pública en el certificado. Ambos certificados tienen la misma clave pública, por lo que ambos pueden usarse para verificar la firma. La diferencia es que 18:da:d1:9e:26:7d:... se emite solo mientras que 25:0c:e8:e0:30:61:2e:... está firmado por C=US, O=VeriSign, Inc., OU=Class 3 Public Primary Certification Authority .

Dicha configuración es común si se quiere introducir una nueva CA raíz, como cuando se cambia la calidad de la clave pública, es decir, de 1024 bits a 2048 bits. Debido a que toma un tiempo para que esta nueva CA sea confiable en todas partes, primero se firma la nueva CA raíz por una CA raíz confiable para que los navegadores puedan verificar la ruta de confianza. Una vez establecida esta nueva CA, se puede abandonar la antigua CA raíz.