Hai un sacco di domande combinate in una sola qui, e non cercherò di rispondere a tutte loro.
Per quanto riguarda gli schemi di numeri seriali, sono a conoscenza di un'installazione che originariamente diceva "abbiamo due macchine per la firma, aggiungiamo un prefisso di 100000 ai numeri generati dalla seconda macchina. Scopriamo che non ci è voluto tanto hanno pianificato di consumare centomila numeri seriali e il loro schema è crollato.I numeri seriali possono essere piuttosto lunghi.Vorrei raccomandare l'uso di un hash della chiave pubblica come numero seriale, o almeno una frazione significativa di esso (ha bisogno di essere abbastanza grande da assicurarti statisticamente che eviterai le collisioni, tenendo conto del paradosso del compleanno.) Devono essere unici, non sequenziali.
Le CA radice sono spesso impostate per 10 o 20 anni di vita; vengono tracciati solo per firmare i certificati di firma CA subordinati e vengono tenuti fisicamente chiusi in una cassastrong per il resto del tempo. Gli SCA sono impostati per scadere più frequentemente, poiché sono installati in sistemi on-line e sono costantemente utilizzati, esponendoli a rischi maggiori. Ma ogni certificato di firma deve scadere dopo la durata del certificato più lungo emesso. Se provi a tagliarli troppo vicini, ti imbatterai in problemi quando scadranno tutti allo stesso tempo. Con la relativa cautela, assicurati che i certificati CA subordinati non scadano tutti allo stesso tempo.
Non sono sicuro perché mostri "certificati cliente" che firmano altri "certificati cliente". Un certificato che può essere utilizzato per la firma ha un'enorme quantità di autorità e in genere non rischi di delegarlo a terzi. Se hai quel tipo di relazione, sarebbe più comune offrire un servizio di firma ai tuoi clienti che hanno bisogno di certificati.
È anche il momento di pensare ai CRL e / o ai risponditori OCSP. È inoltre necessario considerare il tracciamento dei certificati. Puoi rilasciarli tutto il giorno, ma ti assicuro che molti dei tuoi clienti si dimenticheranno di richiederne di nuovi fino al giorno in cui scadono i vecchi. Se si mantiene un elenco di certificati emessi in un database, insieme agli indirizzi e-mail del richiedente, il proprio team di sicurezza sarà in grado di inviare avvisi di avviso un mese prima della scadenza dei certificati.
Infine, sul mercato sono presenti prodotti per la gestione dei certificati aziendali in grado di gestire tutti questi requisiti. Anche se questo non è un forum per fare raccomandazioni specifiche sui prodotti, suggerisco almeno di cercare nel mercato per vedere cosa è disponibile. Probabilmente forniranno risposte ad altre domande che non sapevi dovresti chiedere.