认证中心密钥翻转

为支持验证者密钥翻转，Domino® 信任模型已扩展为包含一种新类型的证书 - 翻转证书。这些证书是由实体发布给自己的证书。在一个层次结构证书中，有一个发布者名称、一个主体名称和一个主体密钥。在翻转证书中，有一个名称（该名称即是发布者也是主题）和两个主题密钥：一个密钥用于对证书签名并证明主题名称合法拥有另一个密钥。

通常，在翻转密钥时，将发布两个翻转证书：一个由旧密钥签名，表明新密钥有效；另一个由新密钥签名，表明旧密钥有效。每个证书都有自己的到期日期。

翻转证书对于限制发布给旧密钥的证书到期日期非常重要。翻转密钥的其中一个原因是，前面的密钥已经面临危险，或者至少认为该密钥时间较长，足以认为这种危险的可能性已经不可接受。这些情况下，通过限制翻转证书中指定的到期日期，可以在翻转证书中指定一个足够早的到期日期，从而可能限制以前发布的子证书的生命周期。

翻转验证者将影响到整个组织。您翻转了验证者之后，必须翻转或重新验证该验证者以前发布的所有用户标识、服务器标识和交叉证书。

翻转整个客户站点的最佳方式是在根证书中启动并在层次结构中向后传递。首先翻转根 CA，然后翻转组织单元 CA。然后翻转服务器和用户密钥。如果在父级 CA 的密钥之前翻转用户或服务器密钥，那么将需要对新用户或服务器密钥验证两次 - 一次是验证当前（旧）CA 密钥，一次是在 CA 密钥翻转时重新验证。额外的一次重新验证要消耗大量的时间和精力 - 用户和服务器重新验证需要管理员的干预，还需要复制“个人”和“服务器”文档。