8.9 密鑰更新

當密鑰對過期時相關的終端實體就會請求密鑰更新－也就是說，它可以請求CA為新密鑰對發布新的證書（或者，在特定情況下，給相同的密鑰對一個新證書）。這個請求使用密鑰更新請求（kur）消息（參考，在某些情況下和“證書更新”操作一樣）。如果終端實體已經擁有了簽名密鑰對（帶有相應的驗證證書），那么這個消息就使用實體的數字簽名來保護。CA用密鑰更新響應（kup）消息返回新的證書（如果請求成功），這個消息在語法構成上與CertRepMessage一樣。