certifi 2024.2.2版本和certifi 2016.2.28的cacert.pem为何有效性相同

Question

我只是想知道为什么不同版本的Python模块certifi的cacert.pem文件的有效日期是一样的。我检查了certifi版本2018.4.16和2024.2.2。

certifi 2018.4.16

[root@8a63ff0c0dba /]# python3.3 -m pip show certifi
Name: certifi
Version: 2018.4.16
Summary: Python package for providing Mozillas CA Bundle.
Home-page: http://certifi.io/
Author: Kenneth Reitz
Author-email: me@kennethreitz.com
License: MPL-2.0
Location: /usr/local/lib/python3.3/site-packages
Requires: 
Required-by: requests

[root@8a63ff0c0dba /]# openssl x509 -enddate -noout -in /usr/local/lib/python3.3/site-packages/certifi/cacert.pem
notAfter=Jan 28 12:00:00 2028 GMT

certifi 2024.2.2

[root@1e6dfr05dhd /]# python3.11 -m pip show certifi
Name: certifi
Version: 2024.2.2
Summary: Python package for providing Mozillas CA Bundle.
Home-page: https://github.com/certifi/python-certifi
Author: Kenneth Reitz
Author-email: me@kennethreitz.com
License: MPL-2.0
Location: /usr/local/lib/python3.11/site-packages
Requires: 
Required-by: requests

[root@1e6dfr05dhd /]# openssl x509 -enddate -noout -in /usr/local/lib/python3.11/site-packages/certifi/cacert.pem
notAfter=Jan 28 12:00:00 2028 GMT

cacert.pem的有效性会在2028年1月28日之后自动更新吗？

Answer 1

cacert.pem这个文件没有有效日期。

实际上，这个文件里包含了超过100个CA证书，每个证书都有自己的到期日期。你用来检查“cacert.pem有效日期”的命令，只会显示这个文件中第一个证书的到期时间，这个证书可能是“GlobalSign Root CA”。

只要这个特定的证书在cacert.pem中排在第一位，输出的结果就不会改变，无论其他证书有没有变化。如果证书的顺序被调整了，输出结果也会改变，即使没有证书被更新、添加或删除。

所以，用这个命令来检查cacert.pem是没有意义的。