Versioni multiple del certificato di firma SSL

Come sottolinea Steffen, c'è una differenza tra la chiave pubblica e l'impronta digitale del cert. La stessa chiave pubblica può essere riutilizzata in un nuovo certificato. Un esempio comune potrebbe sostituire un certificato che sta per scadere presto.

La cosa triste è lo stesso strumento di Symantec e il sito web è nel migliore dei casi fuorviante e nel peggiore addirittura confuso.

Symantec ha iniziato ad avere sistemi operativi e browser che utilizzano il nuovo certificato G5 (che termina 3b 4a) anni fa. Questo è il motivo per cui quando esegui un'analisi ottieni quella catena. Uno avrebbe bisogno di un browser e / o sistema operativo molto vecchio per risolvere la catena usando il vecchio certificato G5 (che termina con f8 fd).

La catena risolta dallo strumento di symantec non è stata risolta. Significa che l'ultimo cert non è un certificato radice. Il cert root che ha firmato il vecchio cert G5 (che termina con f8 fd) non viene più utilizzato, il che lo rende doppiamente confuso. Mostrano e catena incompleta e la vecchia catena obsoleta.

La versione semplice del tuo sito va bene, il tuo browser va bene, il tuo sistema operativo va bene. Symantec tuttavia non può essere disturbato a mantenere aggiornato il proprio strumento.

So are there actually two different legitimate versions of the VeriSign certificate which can be used to sign the same child certificate?

La firma viene eseguita dalla chiave pubblica nel certificato. Entrambi i certificati hanno la stessa chiave pubblica, quindi entrambi possono essere utilizzati per verificare la firma. La differenza è che 18:da:d1:9e:26:7d:... viene emesso da solo mentre 25:0c:e8:e0:30:61:2e:... è firmato da C=US, O=VeriSign, Inc., OU=Class 3 Public Primary Certification Authority .

Tale impostazione è comune se si vuole introdurre una nuova CA radice, come quando si cambia la qualità della chiave pubblica, cioè 1024 bit a 2048 bit. Dal momento che ci vuole del tempo per ottenere questa nuova CA attendibile ovunque, prima si firma la nuova CA radice da una CA radice attendibile esistente in modo che i browser possano verificare il percorso di fiducia. Una volta stabilita la nuova CA, è possibile abbandonare la vecchia CA radice.