Rinnovare un certificato SSL è l'equivalente funzionale di generare un nuovo certificato; non è una revoca e il certificato "vecchio" continuerà ad essere accettato come valido, supponendo che non sia ancora scaduto. Non ci sono requisiti di downtime / manutenzione per la sua sostituzione.
Si noti tuttavia che a causa della SSL SHA1 Deprecazione di hash , molte autorità di certificazione (CA) si stanno muovendo rapidamente per eliminare gradualmente SHA1 in favore di SHA256 entro la fine del 2016. Ciò significa che molte CA semplificano la "re-chiave" di SSL basato su SHA1 esistente certificati, che forniscono una rapida rigenerazione del certificato SSL esistente, utilizzando il nuovo algoritmo di hash SHA256, in genere con pochi clic. GoDaddy, un importante registratore di CA / dominio, implementa questa funzionalità tramite il loro servizio CA SSL di Starfield .
Ciò che non viene spesso chiarito, è che una chiave di accesso di un certificato SHA1 a un certificato SHA2 può includere una revoca implicita del certificato esistente. Il processo sottostante di Starfield per reimpostare un certificato SHA1 genera una richiesta di revoca, rendendo immediatamente non valido il certificato SSL corrente. Non c'è documentazione o avviso su questo importante dettaglio (!). Molti presumeranno che la richiesta di un certificato ri-chiave sia l'equivalente di un rinnovo del certificato, quando in realtà si tratta di una richiesta di revoca, più la generazione del nuovo certificato. Immagina la tua sorpresa dopo aver fatto clic su "re-key" e quindi scaricato il nuovo certificato, forse in attesa di un'installazione successiva, e che entro poche ore il tuo endpoint SSL non sarà più valido. Non è divertente. Quindi stai molto attento a ridigitare i certificati SHA1 durante il periodo di transizione per la deprecazione SHA1.
Un altro punto da tenere presente quando si esegue la migrazione da certificati SHA1 a SHA2, è quello di assicurarsi e scaricare e installare la nuova catena di certificati intermedi CA nel proprio archivio di chiavi contemporaneamente. La migrazione da SHA1 a SHA256 spesso significa che il nuovo certificato SHA256 richiede nuove catene di certificati SHA256 intermedie nel keystore. Non farlo può comportare l'invalidazione del certificato di base.