| 密钥侧 | 平台禁用/销毁密钥对象，立即阻止后续使用 |
|---|---|
| 证书侧 | 通过 CRL/OCSP 传播，或直接替换并下架旧证书 |
| 评估 | 历史签名与历史数据的效力需单独分析 |
两侧动作示意
两侧动作示意
aws kms disable-key --key-id <key-id> # 密钥侧（示意）
openssl ca -config openssl.cnf -revoke leak.pem # 证书侧（私有 CA）已产生的历史签名不会因为吊销而自动失效，需要结合时间戳与审计记录评估影响。
密钥吊销与证书吊销的区别
密钥吊销是让密钥材料不可再用（KMS 禁用、HSM 删除对象、替换密钥对），证书吊销是让依赖方拒绝该证书；泄露处置通常两者都做，才能既停止使用又通知验证方。
易错点
- 只吊销证书而保留仍可使用的密钥
- 忽略历史签名在吊销后的效力问题
数据来源与参考
- NIST SP 800-57（密钥终止与吊销）
- RFC 5280 §5（证书吊销）