我们有自己的 CA，多年来我们用它来创建数百个服务器证书和数千个客户端证书。CA 证书本身是 1024 位，它签名的证书也是 1024 位
由于我们与所使用的外部证书之间存在某种关系，赛门铁克一直向我们发送有关“立即更改为 2048 位证书”的电子邮件，这让我很担心。
10 月会发生什么？操作系统供应商是否会推出软件更新，禁用其与 1024 位证书交互的能力？如果是这样，我们将面临严重的问题，因为我们必须尽快替换数千个证书
将客户端证书和 CA 证书本身替换为新的 2048 位证书将是一场手动噩梦。最初，对于除 Windows 之外的所有平台，都必须手动完成此操作（感谢 Microsoft 的 GPO！），因此，此更改是否要求我们也替换 CA，或者让现有的 1024 位 CA 证书签署 2048 位客户端/服务器证书是否足以“解决”该问题
答案1
微软在 2012 年 10 月推出了一项更新，使 1024 位以下的 SSL 证书不再被验证为安全证书。该更新还删除了所有证书的弱密钥验证在链中，其中包括使用弱密钥签名的旧证书颁发机构。问题是，他们会再次对 2048 位证书这样做吗？如果会，多久？
他们肯定会这么做，但是目前还不清楚这种情况何时会发生可能是明年，也可能是五年后。上次他们这么做的时候给了我们一份提前一个月通知，但一段时间以来最佳做法是使用 2048 位证书。
实际情况是，证书颁发机构正在转向更强大的证书，而外部 SSL 检查器在遇到 1024 位证书时将开始抱怨证书太弱。某些知名供应商也正在这么做。
这是您开始手动升级中央证书的信号。这将需要很长时间，可能要几年，但现在可以顺利完成，而不是在收到正式弃用通知时惊慌失措。
附注：我们当中有些人创建了完全内部使用的内部授权，并且只使用我们选择的 PKI 的默认密钥大小，并决定通过将默认密钥大小证书的到期日期设置为 2030 年来避免重新密钥的麻烦？我们，嗯，在那里犯了一个错误。
当然，我们将密钥保存在需要生物识别访问的银行金库的一张打印纸上。但如果暴力破解方法允许罪犯在 2015 年完全破解密钥，那么所有这些有趣的保护措施都毫无意义。这是我们现在正在吸取的教训。
重新键入的混乱开始了。