<!DOCTYPE html>

<html>

  <head>

    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

  </head>

  <body>

    <p><br>

    </p>

    <div class="moz-cite-prefix">Op 23-5-2025 om 19:43 schreef Peter

      Schober via users:<br>

    </div>

    <blockquote type="cite" cite="mid:aDCzwxobr%2FeG1Fy8@aco.net">

      <pre wrap="" class="moz-quote-pre">Also, since we're talking certificates, I'd advise you to only ever

change the private key when (1) the technology/key-size/algorithm or

(2) the specific key itself is no longer considered sufficiently

secure, and just change the certificate (i.e., re-wrap the existing

key into a new certificate with a new expiration date) in all other

cases.

That allows those with non-broken software (we're on the Shibboleth

mailing list here, after all) to skip any key rollover steps (it's not

actually a key rollover when the key remains the same) and simply

replace the existing certificate with the new one.

One can easily determine that the public key (modulus, for RSA) hasn't

changed and forgo any longwinded rollover ceremonies, then.

</pre>

    </blockquote>

    <p><span style="white-space: pre-wrap">This assumes self-signed certificates, because no public CA will ever allow the re-use of a private key.

- Tim

</span></p>

  </body>

</html>