El certificado de autenticación del cliente no ha caducado, pero el certificado "padre" ES

Lo siento, pero la respuesta es "no". El certificado raíz de nivel superior "firma" sus otros certificados. Cuando su cliente vaya a validar su certificado, verá la firma en él y verá que está firmado por "oldcert", luego intentará validar "oldcert", y descubrirá que "oldcert" muerto. El solo hecho de tener el nuevo certificado no significa nada.

Puede tomar las mismas "solicitudes de firma de certificado" que se usaron originalmente para obtener los certificados firmados con su certificado anterior, y enviarlos al nuevo servidor de certificados y solicitar nuevas firmas. (Hay algunos riesgos, puede duplicar una identificación o algo así). Pero entonces todavía tienes que distribuir los nuevos certificados.

Lección para llevar: al firmar un certificado, asegúrese de que caduque antes de que caduque el certificado raíz.

Usted puede "regenerar" el certificado en su puerta de enlace, pero solo funcionará si tiene la precaución de reutilizar el mismo nombre y clave.

Esta es una cadena de certificados: el certificado en la puerta de enlace es el "certificado de CA" y los CA han emitido certificados por esa CA. Dicho certificado de cliente se considerará válido (también conocido como "aceptable") si quien realiza la verificación puede crear una cadena válida . Las condiciones se enumeran aquí (no vayas a leer eso, destruirá tu cordura); en su mayoría se reducen a:

• El subjectDN del emisor debe coincidir con el issuerDN del certificado emitido.
• La fecha actual debe estar entre la fecha notBefore y notAfter de cada certificado.
• La firma en el certificado emitido debe verificarse con éxito con respecto a la clave pública en el certificado del emisor.

La consecuencia es que si produce un nuevo certificado de CA (para su "puerta de enlace") con un rango de validez más largo, y tenga cuidado de usar exactamente el mismo nombre y la misma clave pública, entonces el nuevo certificado funcionará como reemplazo del anterior.

Otra complicación es que quien tenga que validar el certificado del cliente deberá acceder al nuevo certificado de CA en lugar del anterior. Posiblemente, el cliente puede enviarlo como parte del protocolo (esto ocurre en algunos protocolos, por ejemplo, SSL: cuando el cliente envía su certificado, en realidad envía una cadena completa), pero esto requerirá que los sistemas clientes lo conozcan. Cualquier certificado puede contener un enlace (URL) a un lugar desde el que se puede descargar el certificado de la CA emisora (se llama Acceso a la información de la autoridad ); Si ese es el caso, entonces querrá colocar su nuevo certificado de CA en el lugar exacto, reemplazando el anterior.

Resumen: su "Plan B" puede funcionar, pero solo si reutiliza el mismo nombre y clave en el nuevo certificado, y puede depender del uso exacto guión. Su software de CA puede ser problemático si insiste en generar un nuevo par de claves.

Nota: algunas CA evitan esta situación forzando la anidación de las fechas de validez: si el certificado de una CA finaliza el 13 de diciembre de 2014, entonces se negará a emitir certificados con una fecha notAfter después de diciembre 13 de 2014. La CA de Microsoft (Servicios de certificados de Active Directory) es de ese tipo. Supongo que el software de su CA no aplica esa regla.