Должны ли мы повторно развертывать банки после обновления с той же CSR?

Question

Срок действия наших сертификатов подписи Java-кода истекает через месяц, и мы только что продлили его с помощью Verisign. Я предполагал, что этого будет достаточно, чтобы наши клиенты не видели сообщений об ошибках, связанных с сертификатом.

Должны ли мы снова подписать банки с новым сертификатом и повторно развернуть его для клиентов?

Заранее спасибо

Answer 1

Да, вам нужно снова подписать их.Сам сертификат сообщит ему дату окончания срока действия, и сертификат будет развернут вместе с вашим пакетом.Это совершенно новый сертификат, который вы получили (даже если эмитенты часто называют его «продлением»).

Установщики и другое программное обеспечение для проверки обычно не используют Интернет для проверки действительности сертификата.Вместо этого они будут проверять дату истечения срока действия в вашем файле сертификата (который упакован в подписанный файл JAR) и проверять действительность сертификата, сверяясь со встроенным списком сертификатов эмитента (CA) компьютера.Единственный раз, когда Интернет используется в этом процессе, - это загрузить список отзыва - базу данных сертификатов, отозванных до истечения срока их действия, - но обычно это не делается в режиме реального времени, а запланировано.

Answer 2

Как обсуждалось с командой поддержки digicert

Нет, если вы не использовали параметр timestamp в процессе подписания.

Обратите внимание, что в этом примере здесь: https://www.digicert.com/code-signing/java-code-signing-guide.htm#jarsigner

Параметр -tsa http://timestamp.digicert.com

Таким образом, ваша подпись действительна дляобозримое будущее.Вам не нужно обновлять и переуступать этот конкретный файл, если вы использовали временную метку

. Вам нужно будет только обновить свой сертификат, чтобы подписать будущие новые файлы JAR, которые вы создаете

Answer 3

Да.У вас есть новые сертификаты для подписи, а развернутые в настоящее время версии подписаны со старым сертификатом, поэтому для ваших пользователей ничего не изменилось.

Чтобы ваш новый сертификат был принят во внимание, вы должны сноваJAR-файлы с новым сертификатом и повторное развертывание новых подписанных файлов на клиентах.