security - 为什么 CA 证书可以有很长的到期时间，但他们签署的证书却不行？

Question

我早些时候查看了https://www.google.co.uk/后面的证书，并注意到，通常情况下，证书将在一年后到期，到 2013 年。

我查看了链条，发现根证书（GeoTrust 证书）的有效期为 20 年，直到 2018 年才到期。

这似乎很奇怪，因为在我看来，签署证书的完整性似乎比他们签署的证书更重要。为什么根权限可以长期存在，但他们签署的证书往往有很短的到期时间？

Answer 1

根签名证书的私钥通常比服务器证书的私钥得到更好的保护。通常，单独的服务器证书会以未加密的方式存储在相关的 Web 服务器上，因此服务器可以在重新启动后恢复，而无需人工干预。但是签名密钥将被更安全地保存，通常是密码保护，而不是在面向互联网的服务器上，因为如果签名密钥被泄露，它颁发的所有证书都变得毫无价值。

对私钥保护较差的证书使用较短的到期时间基本上是一种损害限制机制，以防私钥被泄露。