Certificados CA autofirmados: ¿podemos eliminar las claves privadas?

La clave privada de la CA que pertenece al certificado autofirmado solo se usa para firmar certificados y, posiblemente, para firmar las respuestas de OCSP o las CRL. Por lo tanto, además de firmar (en el futuro) certificados secundarios, es posible que también sea necesario establecer el estado de los certificados ya emitidos. Si no se espera que esto ocurra a menudo, puede guardar la clave privada en uno o dos dispositivos fuera de línea y guardarlos en una caja fuerte. No olvide borrar de forma segura las claves privadas del dispositivo que realizó la firma, o mantener ese dispositivo seguro. Tenga en cuenta que los certificados emitidos suelen tener un período de validez más corto que el certificado raíz; Es posible que deba solicitar certificados posteriores, incluso para el mismo caso de uso.

La clave privada del dispositivo es necesaria para realizar la autenticación del dispositivo. Por supuesto, la otra parte primero debe establecer que el certificado del dispositivo es válido mediante la verificación (mediante la clave pública) y la validación: la verificación de la fecha, el nombre y, de hecho, el estado del certificado. Sin embargo, un certificado es público , puede ser enviado por cualquiera . El dispositivo solo se autentica después de comprobar que contiene o tiene acceso a la clave privada que pertenece a la clave pública dentro del certificado. Por lo tanto, se debe seguir algún tipo de procedimiento de autenticación, que comúnmente requiere que la clave privada firme algún tipo de desafío. La firma sobre el desafío puede luego ser verificada por la otra parte. Como nadie debería poder crear una firma sobre el desafío, ojalá sea único, el dispositivo se considera auténtico, es decir, se afirma la identidad de la entidad. Por supuesto, esto significa que la clave privada debe estar disponible para el dispositivo cada vez que se necesita establecer la identidad; por lo general, no se puede almacenar fuera de línea.

Así que no, no debes destruir de forma segura las claves privadas mientras los certificados son válidos .