Posso ottenere un certificato SHA-256 quando il CSR è per SHA-1?

Ho letto:

Per impostazione predefinita, gli strumenti crittografici OpenSSL sono configurati per creare firme SHA1. ad esempio, se si desidera generare una richiesta di certificato firmata SHA256 (CSR), aggiungere nella riga di comando: -sha256

Mi è stato richiesto di aggiornare un certificato SHA1 esistente a SHA256. Ho generato un nuovo CSR e l'ho inviato a RapidSSL, prima di rendermi conto che non avevo specificato -sha256nel CSR.

Li ho contattati e dicono che "è stato effettuato un rimontaggio per un certificato Sha2 e lo stato corrente dell'ordine è in attesa di approvazione. Una volta approvato l'ordine, il nuovo certificato verrà emesso con l'algoritmo SHA2".

La mia domanda è: è possibile per loro ottenere il mio CSR SHA1 e dire "ok, ti ​​stiamo comunque restituendo un certificato SHA256 perché è tutto ciò che facciamo ora"? E quel certificato funzionerà con la chiave privata che ho generato corrispondente a quel CSR SHA1?

Come funziona? Quando passo -sha256(o quando non lo faccio) al momento della generazione di un CSR, che cosa influisce, oltre a prendere semplicemente una nota nel CSR che dice "ehi, questa persona vuole la crittografia SHA256 sul proprio certificato"? Interessa in qualche modo la chiave privata generata?

È possibile perché la firma di un CSR viene utilizzata solo per dimostrare che sei effettivamente il proprietario della chiave privata che corrisponde alla chiave pubblica incorporata nel CSR. Una volta che la CA (RapidSSL nel tuo caso) decide che il CSR è valido, la sua firma diventa insignificante per l'ulteriore processo di creazione del certificato e viene effettivamente scartata.

Per i dettagli gory completi su cosa c'è in un certificato vedi rfc5280-4.1.2