SSL証明書更新時の秘密鍵の変更

Question

新しい秘密鍵で証明書を更新する場合、以前に接続したブラウザはどうなりますか？古い証明書はキャッシュされ、要求は正しく暗号化されますか？スティッキセッションが使用されていないと仮定して接続が失敗することなく、新旧の古い証明書を持つものがいくつかある場合に、複数のサーバーをレイヤ4で負荷分散することは可能ですか？

Answer 1

クライアントは通常、SSL/TLS証明書をキャッシュしません。 「HTTP（HPKP）の公開鍵ピン拡張機能」クライアントを使用する場合のみ、提供された証明書をキャッシュしてチェックします（またはその証明書の特定のプロパティであることを確認してください）。証明書を変更する場合、HPKPは複数の証明書を許可します（例えば、古いものと新しいもの）。

ロードバランサについて：osiレイヤ4で動作している場合は、TCPレベルで動作するものとします。したがって、バランサの背後にある各サーバは、独自のSSL/TLSセッションを確立します。セッションがサーバー間で共有されない場合、すべての証明書が有効である限り、すべてのサーバーが同じ証明書を使用しない場合、問題イベントは発生しません。 クライアントはSSL/TLS接続を開始するときにSSL/TLSセッションIDを提供できますが、サーバーはセッションがわかっているかどうかを判断します。したがって、クライアントが別のサーバーからセッションを参照する場合、何も悪いことはありません。クライアントとサーバーは新しいセッションを確立するだけです。