PKI SSL 인증서 업데이트에 대한 유용한 정보

Question

사용자 상호 작용없이 클라이언트 쪽 SSL 인증서를 업데이트하는 가장 좋은 방법은 무엇입니까?

자세한 내용은 다음과 같습니다.
SSL 개인 키/공개 x.509 인증서가있는 서버가 있습니다. 모든 클라이언트는 SSL을 통해이 서버와 통신합니다. SSL 연결을 설정하려면 모든 클라이언트가 서버의 공용 인증서를 신뢰할 수있는 위치 (truststore)로 가져와야합니다.

설치 프로그램이 (SSL을 통해) 서버에 접속하여 서버의 공개 키 (또는 회사의 루트 인증서)를 얻을 수 있으므로 (클라이언트) 설치 시간에 서버의 인증서를 가져 오는 것은 문제가되지 않습니다. 그 후에 설치자는 시각적 인 확인을 위해 사용자에게 인증서를 보여줄 수 있으며 이는 충분히 안전합니다.

서버 인증서 (또는 회사 CA)가 만료 된 후에는 어떻게됩니까?
또는 서버 인증서가 실수로 변경되면 어떻게됩니까?

모든 클라이언트를 새 서버 SSL 인증서 (CA)로 (자동으로) 업데이트하는 가장 좋은 방법은 무엇입니까? 설치 후 클라이언트는 백그라운드 프로세스이며 시각적 인 사용자 상호 작용이 가능하지 않습니다.

물론 가장 쉬운 방법은 인프라 관리자가 모든 클라이언트를 수동으로 업데이트하는 것입니다.

사용자 개입없이 클라이언트의 인증서를 자동으로 업데이트하는 좋은 방법이 있는지 궁금합니다.

Answer 1

이상적으로 서버 인증서는 긴 수명 (10-20 년)의 신뢰할 수있는 루트 CA 인증서에 의해 발급되고 서명되어야합니다. 루트 CA 인증서 만 클라이언트쪽에 설치됩니다.

서버 인증서 자체는 매년 업데이트하더라도 루트가 서명하고 신뢰할 수 있으므로 클라이언트에 전파 할 필요가 없습니다.

자체 서명 된 인증서를 사용하는 경우 이는 일반적으로 인증서 관리 관점에서 낯선 이유입니다. 만료되거나 변경되면 모든 사람이 업데이트해야합니다. 그렇지 않으면 브라우저 보안 경고가 표시됩니다.