如何更改根CA证书？

Question

我正在为我的网络运行一个自己的 CA，只是为了将它安装到浏览器中，以便我可以查看服务器是否仍然拥有我创建的证书（粗俗：拥有绿色锁）。

当然，我只需要在更新 OpenSSL 后撤销我的所有证书并且完全偏执，我也想撤销我的根证书。问题是：如何在不创建全新 CA 的情况下执行此操作？这甚至可以为我的 CA 创建一个新证书吗？

Answer 1

你不能这样做，但没有理由这样做。除非您出于某种奇怪的原因还使用 CA 证书和密钥作为实际的服务授权证书，在暴露于 Internet 的机器上，在支持 TLS 的服务上，它不太可能受到损害。

你会注意到，在心脏出血后的疯狂更新中，我们没有看到的一件事是所有大型认证机构都撤销了他们的根，并发布了新的根。