密钥吊销与证书吊销不是一回事
泄露事件里经常被混为一谈的是两件事。密钥吊销指的是让密钥材料本身不可再用：在 KMS 里禁用密钥对象、从 HSM 删除、替换整对密钥。证书吊销指的是让依赖方拒绝那张证书：通过 CRL/OCSP 传播，或者干脆换成新证书并把旧的下架。两者的效果不同：只吊销密钥，历史签名仍然看起来有效；只吊销证书，攻击者手里那把密钥还能用在别处。所以完整处置通常是两侧动作都做。
基本信息
| 密钥侧动作 | 平台禁用或销毁密钥对象，立即阻止后续使用 |
|---|---|
| 证书侧动作 | 通过 CRL/OCSP 传播，或直接替换并下架旧证书 |
| 影响差异 | 证书吊销影响验证方判断；密钥禁用影响持有者的使用能力 |
| 历史产物 | 已产生的签名与历史数据效力需单独分析 |
| 处置顺序 | 先切断使用能力，再通知依赖方 |
| 记录要求 | 两侧动作的时间点与执行人都要留痕 |
典型使用场景
- 私钥泄露：禁用密钥并吊销对应证书，两手同时进行。
- 员工或设备丢失：确认密钥载体是否可用，再决定吊销范围。
- 误签发处理：吊销证书并核对密钥是否仍在其他场景使用。
- 合规事件响应：按制度完成两侧动作并留存证据。
- 取证分析：区分密钥泄露与证书误用，判断攻击者实际能力。
两侧动作示意
两侧动作示意
# 密钥侧：禁用密钥对象，立即阻止后续使用（示意）
aws kms disable-key --key-id <key-id>
# 证书侧：私有 CA 吊销并重新生成 CRL
openssl ca -config openssl.cnf -revoke leak.pem
openssl ca -config openssl.cnf -gencrl -out ca.crl
# 公信证书：通过 CA 平台或 ACME 客户端提交吊销，随后替换并下架旧证书两侧动作对照
| 动作 | 效果 | 局限 |
|---|---|---|
| 禁用或销毁密钥 | 持有者无法再使用该密钥 | 不影响已发出的签名与已加密数据 |
| 吊销证书 | 依赖方可获知证书失效 | 传播延迟，软失败下可能仍被接受 |
| 替换密钥对 | 切断旧密钥的所有用途 | 需要更新所有使用方配置 |
| 撤销历史签名认定 | 靠时间戳与审计记录界定 | 需要额外的存证机制 |
已产生的历史签名不会因为吊销而自动失效，需要结合时间戳与审计记录评估影响；把吊销当作「抹掉过去」会造成误判。