当我的 Windows 域中的 CA 证书过期时，加密邮件会发生什么

Question

有谁知道当我的域网络中的根授权证书过期时加密/签名的邮件会发生什么？证书是否仍然可以从客户端进行验证，并且当邮件被加密/签名时，客户端会识别出证书是有效的吗？

当迁移到新的基础架构或安装新的根 CA 时，分别会发生什么？是否还需要迁移过期的根证书？

Answer 1

我只能谈论 Outlook 中的行为，但是...当用户打开电子邮件时，过期的证书会发出警告，称其不受信任。他们可以查看过期的证书并决定是否要继续阅读电子邮件。

就像一张过期的身份证一样。我知道以前是你，但你可能改了名字或者剃了光头之类的……所以你需要一个新的身份证件，然后我才能验证你的身份。

关于迁移...

证书颁发机构信任模型

“证书路径中过期的 CA 证书不会使路径失效。在 Windows 2000 公钥基础结构中，只要 CA 证书在颁发证书时有效，证书路径就可以有效。” 所以是的。您可能应该保留过期的根证书。