分层认证机构和 CRL

Question

如果我实现了具有多个 CA 级别的 PKI，我是否需要为每个单独的 CA 设置一个 CRL，或者我是否可以为整个层次结构设置一个 CRL（即，将所有证书指向一个 CRL），或者在层次结构的上层？

Answer 1

每个 CA 都需要发布自己的 CRL。

从技术角度来看，无法组合多个 CRL 的原因是每个 CRL 都需要由生成它的 CA 进行加密签名，因此它是 1-CA-to-1-CRL 关系。