Dónde obtener / comprar un certificado S / MIME generado por CSR

La teoría es que mientras mantengas tus claves antiguas, tu software de correo electrónico aún podrá descifrar tus correos electrónicos recibidos. Que el certificado haya caducado significa que otras personas no aceptarán usar su antigua clave pública para enviarle nuevos correos electrónicos cifrados, pero leer su buzón de correo de su lado no implica usar su clave pública o su certificado , solo la clave privada. En otras palabras, certificados caducan, pero las claves privadas no. Tenga en cuenta que el software de correo electrónico habitual indiza las claves por certificado (tienen un certificado y el certificado se vincula con la clave privada correspondiente), por lo que es mejor que mantenga los certificados a la mano, incluso si están vencidos.

Bajo esta teoría, no hay ningún problema en generar un nuevo par de claves siempre que desee un nuevo certificado, excepto quizás el espacio de almacenamiento para las claves privadas acumuladas. Una clave privada RSA tomaría menos de 2 kB, por lo que una clave cada 3 años no llenará su disco en el corto plazo. Sin embargo, esto puede ser un problema si mantiene su clave privada en una tarjeta inteligente: las tarjetas inteligentes no son eternas y no son fáciles de hacer copias de seguridad, por lo que implican un riesgo de pérdida de la clave (y, por lo tanto, pérdida de datos). Reutilizar el mismo par de claves para un nuevo certificado, en lugar de generar uno nuevo, no ayudará para eso, de todos modos.

CA profesional debe seguir su Declaración de práctica de certificación que a menudo requiere nuevas claves para renovar certificados. Este requisito puede estar allí por muchas razones, no necesariamente buenas. Un argumento, por ejemplo, es el siguiente: los algoritmos de descifrado de claves toman tiempo; Al utilizar una clave de larga duración (la duración de la clave se prolonga durante muchos años y las renovaciones de certificados), le está dando al atacante más tiempo para romper su clave. Este no es un argumento muy bueno porque romper una clave antigua ya es interesante para un atacante (otorga acceso a correos electrónicos antiguos), pero ese es un argumento generalizado. Forzar nuevos pares de claves también es una forma fácil de imponer claves más largas de manera regular. Por lo tanto, muchas CA no aceptarán fácilmente una CSR prefabricada.

Por supuesto, puede potencialmente alterar el código de su navegador (asumiendo que es de código abierto) para fingir para generar una nueva clave, pero en realidad reutilizar la anterior. La CA no puede realmente evitar eso, a menos que compruebe explícitamente que su nueva clave es distinta de la anterior.

Otra faceta del problema es que las claves de cifrado deben ser guardadas (es decir, respaldadas en algún lugar). De hecho, perder su clave privada implica usar el acceso a correos electrónicos antiguos cifrados con esa clave. Así que la política de almacenamiento para su clave privada ya es compleja, por necesidad. Ampliar esa política para poder cubrir una docena de claves en lugar de una parece poco probable que sea un problema.

Resumen: aunque esto no responde a su pregunta exacta, le recomendaría que no insista en mantener la misma clave privada en la renovación del certificado. Generar un nuevo par de claves debería estar bien, y al menos es discutible que cambiar la clave sea "algo bueno". Un certificado nuevo por 3 años, o incluso por año, no será "un desastre" antes de su desaparición (que deseamos que esté lo más lejos posible en el futuro).

La gestión clave del ciclo de vida es un problema difícil. Si bien la simplicidad es, si todas las demás cosas son iguales, algo bueno, hay un punto en el que demasiada simplicidad comienza a degradar la facilidad de uso o la seguridad.

("Un anillo para gobernarlos a todos" parecía una buena idea en ese momento).

No he visto ninguna CA que ofrezca esta función, pero si se une a los que preguntan en el foro de StartCom, tal vez sea más probable que consideren agregar soporte en el futuro. La discusión se encuentra en enlace

Hay ciertas reglas que las Autoridades de Certificación deben seguir para emitir certificados confiables (una de ellas es que el certificado no puede ser válido por más de 3 años)

En el caso de archivar, puede guardar una copia de certificados antiguos (se mostrará como caducado si intenta usarlo para enviar correos electrónicos después de la fecha de caducidad) pero le permitirá seguir viendo los correos electrónicos antiguos

Los certificados se almacenan en el registro de las computadoras, los navegadores web tienen un atajo para esto (lo necesitan para propósitos de SSL)

Cuando pides un certificado, la clave privada se crea en la computadora que ordenaste. A medida que realiza el pedido, envía un CSR (Solicitud de firma de certificado) al emisor para crear uno que coincida con su clave privada

Una vez que se crean estos certificados, son fijos (es por eso que todos confían en ellos), por lo que cuando "reedita" o "renueva", esencialmente está reemplazando el certificado anterior por uno nuevo no relacionado (en su cuenta se edita el tiempo) para coincidir)