Mas o que acontece se minha própria autoridade de certificação expirar (autoridade de certificação raiz e autoridade de certificação emitindo)?
Literalmente, nada. Vamos explicar um pouco mais detalhadamente.
Se a assinatura não estiver com registro de data e hora, ela será válida desde que:
- dados não são adulterados
- certificado de assinatura é válido por tempo
- nenhum certificado da cadeia é revogado
- certificado raiz é confiável
Depois que o certificado de assinatura expira, é revogado ou se torna inválido de uma ou de outra maneira, a assinatura é considerada inválida. Claro e simples.
O objetivo dos carimbos de data e hora na assinatura digital é fornecer uma confiança estendida para o conteúdo assinado. Os certificados de assinatura são válidos por um curto período de tempo e as configurações básicas de confiança não são adequadas para assinaturas de longo prazo (talvez arquivadas). Normalmente (sem registro de data e hora), você precisará recriar a assinatura sempre que o certificado de assinatura for renovado. É um caminho para lugar nenhum.
Ao adicionar um registro de data e hora às assinaturas digitais, as condições de confiança são alteradas para a seguinte lista:
- dados não são adulterados
- certificado de assinatura * era * hora válida na hora da assinatura: a hora da assinatura está dentro da validade do certificado de assinatura
- Nenhum certificado foi revogado * antes * da geração de assinaturas
- os certificados de assinatura e de carimbo de data / hora são encadeados até CAs raiz confiáveis (independentemente da validade de tempo, apenas devem estar no armazenamento confiável).
O que mudou aqui: a assinatura permanece válida após a expiração do certificado envolvido. Ou seja, toda a cadeia de certificados de assinatura e carimbo de data / hora pode expirar (junto com o certificado raiz) e não quebra a confiança. Os certificados da cadeia podem ser revogados. O único requisito: se algum certificado for revogado, o tempo de revogação (obtido da CRL) deve ser definido como um horário após a criação da assinatura (o horário de assinatura é identificado por um carimbo de data / hora). A frase anterior significa que deve haver uma CRL assinada para provar que nenhum certificado foi revogado no momento da assinatura.
Essa é a razão pela qual os sistemas modernos do Windows fornecem certificados raiz expirados há muito tempo. Eles ainda são usados para validar assinaturas antigas e com registro de data e hora.
Há um tempo atrás, escrevi uma postagem no blog que explica o assunto em mais detalhes: Assinaturas digitais e carimbos de data e hora