Autoridades de certificação hierárquica e CRLs

Question

Se eu implementar uma PKI com vários níveis de CAs, preciso ter uma CRL para cada CA individual ou posso ter apenas uma CRL para toda a hierarquia (ou seja, apontar todos os certificados para uma única CRL) ou apenas uma poucos nos níveis superiores da hierarquia?

    

Answer 1

Cada autoridade de certificação precisará publicar sua própria CRL.

A razão pela qual não é possível, do ponto de vista técnico, combinar várias CRLs, é que cada CRL precisa ser criptograficamente assinada pela CA que a gerou, portanto, é uma relação de 1-CA-para-1-CRL.