ssl-certificate - 我可以用 sha1 或 256 替换 md5 签名的 SSL/TLS 根证书而不重新签署中间/最终证书吗？

Question

我有一个用 sha1 签名的 SSL / TSL 证书。但是，来自 thwatke 的根证书是使用旧的易受攻击的 md5 算法签名的。更新企业应用程序后，我收到一个错误，因为根证书使用 md5。

现在我必须用应用程序再次运行的 sha1 或 sha256（更新且更安全）替换根证书。

是否可以将 thwatke 的根证书替换为由 sha1 签名的版本，还是我需要重新创建整个链？thwatke 可以为我做这个吗？我几个月前才买了证书...

Answer 1

要验证证书的签名，请使用问题的公钥。只要此密钥相同，颁发者证书使用哪种签名算法都没有关系。对于使用不同签名算法签名的不同证书，CA 在证书中具有相同的公钥并不罕见。但是由于不知道您正在谈论哪些特定证书，因此您必须检查自己是否具有相同的公钥。

更新企业应用程序后，我收到一个错误，因为根证书使用 md5。

这很奇怪或应用程序中的错误。根证书是受信任的，因为它在信任库中，而不是因为它的签名。因此，签名算法根本不重要，因为不需要验证根证书的签名。