CA是否允许在签名前修改CSR？

Question

任何人都可以告诉我，在使用自己的私钥实际签署证书之前，是否允许认证机构（CA）对证书签名请求（CSR）进行修改？

具体来说，我想知道在添加签名之前CA是否将其他字段（如EKU）插入证书是否有效。

Answer 1

是

的证书颁发机构负责通过其政策文件和模板实施的组织PKI的安全策略。这可能包括EKU（扩展密钥使用）属性。

实际上，您正在代表您的主题向CA申请某种类型的证书。由CA执行将发布的证书类型（以及相关用途）。

CA实际上并未修改请求，而是发出许可类型的证书。

Answer 2

我不能谈论的CA一般，但有一次，我跑了Windows Server 2003的网络拥有自己的CA，这是绝对有可能使certreq（通过-attrib选项）添加其他字段的CSR它得到前到CA.因此，它看起来像CA本身可能做同样的事情。

您的里程可能会有所不同。