Estoy pensando en este problema y es difícil estimar los impactos técnicos.
Por cualquier motivo relevante, uno quiere modificar uno el campo x509 de una CA intermedia. Esta CA intermedia fue firmada por la CA raíz y ya ha emitido algunos certificados finales.
Quiero que la CA raíz firme nuevamente este certificado intermedio porque un campo se modificó (incluso un campo inútil), por lo que el certificado produjo un nuevo hash, y la raíz crea una nueva firma. Supongamos que reemplaza el antiguo por el nuevo certificado (su nueva firma), lo que está sucediendo:
- ¿Sigue siendo válido el certificado intermedio? Supongo que es como la firma es válida (incluso si es "nueva") y podemos verificarla con el certificado raíz.
Además, como la clave pública intermedia nunca ha cambiado, los certificados finales siguen siendo válidos y podemos verificarla (con clave pública intermedia).
Obviamente, el contenido del certificado intermedio ha cambiado, pero aún podemos usarlo ya que está firmado por Root, y su clave pública sigue siendo la misma.
Supongo que hay impactos que no puedo ver.