我使用自签名证书对客户端证书进行签名，并且我有一个过程来替换此证书，以防私钥被泄露。可悲的是，这意味着所有客户端证书都将无效。
我正在努力在我的系统上实现 PKI，这意味着我可以有一个仅用于颁发中间 CA 的"冷"根证书，而中间 CA 又能够签署我的客户端证书。
那么，在具有可靠 PKI 的完美世界中，我如何从中间证书私钥委托中恢复，而无需让我的客户重新签署其所有证书？
我的意思是，从今天开始，使用我的单一自签名证书，我毫不怀疑我必须要求我的所有客户重新发送CSR并使用新的私钥重新签署所有证书。并阻止它们，直到对其新证书进行签名。
但是对于 PKI，我认为根证书不受损害，是否可以顺利过渡到新的中间证书？顺利的意义，而不是中断对我的客户的服务？
例如，我可以想象在两台物理上不同的机器上使用两个中间证书对他们的证书进行签名，这样当一个证书被吊销时，第二个签名仍然有效。我说的对吗？
这件事上有什么"行业标准"吗？
正确实现的 PKI 并不能防止您重新颁发从受感染的 CA 签名的所有证书。如果签名 CA 已泄露，则必须吊销所有证书。 双重签名没有帮助，证书是否被吊销。
例如，在Windows域中，您可以使用Active Directory集成CA并实现自动注册到客户端。 你也可以在你的企业中实现一个像letsencrypt 这样的CA。 博尔德 - 加利福尼亚州的 ACME https://github.com/letsencrypt/boulder