3. 证书生命周期管理：证书签发、续期、吊销、更新策略

证书这东西，不是签发了就能管一辈子的。我见过不少团队，花大功夫把证书装上设备，然后就再也不管了。结果呢？证书过期，设备离线，OTA 升级全挂。说白了，证书生命周期管理，就是管好证书从生到死的每一个环节。

我个人习惯把证书生命周期分成四个阶段：签发、续期、吊销、更新。每个阶段都有坑，咱们一个一个说。

3.1 证书签发：从 CSR 到信任锚点

签发证书的第一步，是生成证书签名请求（CSR）。设备端生成密钥对，把公钥和身份信息打包成 CSR，发给 CA。CA 验证身份后，签发证书。

这里有个细节——私钥必须在设备端生成。我曾经遇到一个项目，为了省事，在服务器上生成密钥对，然后通过 OTA 把私钥推给设备。结果呢？私钥在传输过程中被截获，整个批次设备都得召回。你想想看，私钥一旦泄露，证书就是个摆设。

签发流程大致如下：

1. 设备注册：设备首次上线，向注册服务器提交设备 ID 和公钥哈希。
2. 身份验证：服务器验证设备身份（通常基于预置的密钥或证书）。
3. CSR 提交：设备生成 CSR，包含公钥和设备信息，签名后提交。
4. CA 签发：CA 验证 CSR 签名，签发设备证书，设置有效期和用途。
5. 证书分发：设备下载证书，安装到安全存储区。

签发时，证书的有效期怎么定？我个人的经验是：生产环境设备证书 1-2 年，测试证书 30 天。太长不安全，太短运维成本高。

3.2 证书续期：别让设备突然失联

证书过期，设备就失联了。这不是危言耸听。我见过一个智能路灯项目，证书统一在 12 月 31 日过期。元旦那天，半个城市的路灯离线，运维团队被骂到怀疑人生。

续期的核心策略是提前续期。设备在证书到期前 30 天就开始尝试续期。如果续期失败，还有重试机会。

续期策略	触发条件	重试机制	适用场景
主动续期	证书剩余有效期 < 30 天	每天重试 1 次，最多 30 次	网络稳定的固定设备
被动续期	服务器检测到证书即将过期	服务器推送续期指令	低功耗、间歇性联网设备
强制续期	证书已过期	使用备用证书或紧急通道	应急场景，需人工介入

续期时，密钥要不要换？这取决于你的安全策略。我个人建议：每次续期都换密钥对。虽然会增加计算开销，但能防止密钥泄露后的长期风险。如果设备性能太差，至少每 3 次续期换一次密钥。

3.3 证书吊销：信任的撤回机制

证书吊销，说白了就是告诉所有人：「这张证书不再可信了」。什么时候需要吊销？设备被破解、私钥泄露、设备报废、设备被篡改……这些情况都得吊销。

吊销有两种主流方式：CRL（证书吊销列表）和OCSP（在线证书状态协议）。

• CRL：CA 定期发布一个列表，里面是所有被吊销的证书序列号。设备或服务器下载这个列表，检查证书是否在列表中。优点是简单，缺点是列表会越来越大，实时性差。
• OCSP：实时查询证书状态。设备或服务器向 OCSP 响应器发送查询请求，响应器返回「正常」「吊销」或「未知」。优点是实时性好，缺点是需要额外的网络请求。

我在项目中更倾向于混合方案：设备端缓存 CRL，定期更新；关键操作（如 OTA 升级）前，再通过 OCSP 确认证书状态。这样既保证了离线场景的可用性，又保证了关键操作的实时验证。

3.4 证书更新：应对算法演进和密钥泄露

证书更新和续期不一样。续期是证书快到期了，换一张新的；更新是证书本身没问题，但出于安全原因需要换。比如：

• 算法升级：RSA 2048 要升级到 ECC P-256，或者 ECC 要升级到抗量子算法。
• 密钥泄露：怀疑私钥已经泄露，需要立即更换。
• CA 更换：根 CA 要退役，所有设备需要换发新 CA 签发的证书。

更新策略的核心是平滑过渡。你不能让所有设备同时更新——那会造成网络风暴和 CA 过载。我常用的策略是灰度更新：

1. 先选 1% 的设备做试点，验证更新流程没问题。
2. 扩大到 10%，观察系统稳定性。
3. 逐步增加到 50%、100%。

每次更新，设备端要保留旧证书直到新证书确认可用。万一新证书有问题，还能回退。

3.5 生命周期管理的自动化

手动管理证书生命周期？别开玩笑了。设备量一上来，人工根本管不过来。必须自动化。

我推荐用证书管理平台统一管理。这个平台负责：

• 自动监控证书有效期，提前触发续期。
• 自动生成和分发 CRL。
• 提供 OCSP 响应服务。
• 记录所有证书操作日志，方便审计。

设备端也要配合。设备上要有一个证书管理模块，负责：

• 定期检查证书有效期。
• 自动发起续期请求。
• 缓存和更新 CRL。
• 在证书异常时触发告警。

嗯，这里要注意：自动化不是万能的。关键操作（如吊销证书）还是需要人工确认。我见过一个自动化脚本，因为 bug 把正常设备的证书全吊销了……那场面，惨不忍睹。