Me gustaría entender cómo se verifica la CRL y, por lo tanto, se verifica el certificado de la entidad final cuando hay un nuevo certificado y se han renovado las claves de la CA emisora.
Supongamos que tengo la siguiente configuración:
- Emisión de CA de publicación de CRL
- Certificados de entidad final emitidos por la CA emisora
- Servicio de validación que valida los certificados de entidad final emitidos a través de la cadena de certificados y CRL
Cuando no hay cambios, el certificado se validaría sin problemas.
¿Pero qué sucede cuando renuevo el certificado de CA con nuevas claves? El DN del certificado de CA sería el mismo, pero la CRL publicada se firmará con una clave diferente. El antiguo certificado y las claves de CA seguirían siendo válidos porque aún no se había alcanzado su fecha de caducidad, pero no se utilizarían para publicar nuevas CRL.
¿Cómo sería el certificado de entidad final emitido antes de renovar la CA validada con el certificado de CA renovado y sus CRL correspondientes?