签发TSA (时间戳管理局)证书

Question

签发TSA (时间戳管理局)证书的做法是什么？

我读到TSA证书应该直接从根CA颁发，但基本上TSA证书是end entity证书，根CA不应该为end实体颁发证书。

我应该从根CA颁发TSA证书，还是应该颁发专门的中间CA来颁发TSA证书？

Answer 1

您的论点是正确的，在大多数情况下，您应该创建一个中间证书，该证书发出时间戳证书。

我能想到的直接从根创建它的唯一原因是，非常小的PKI的管理人员希望避免额外的中级CA的额外管理开销，因为证书类型的颁发非常少(可能每年少于一个证书)。这可以在私营企业环境下完成，但这绝对是不好的做法。