¿Cómo distingo entre estas dos situaciones de certificado?

Situación 1 (segura):

• El sitio web era vulnerable a los ataques cardíacos y el uso de un certificado no válido antes del 2012-10-21
• Sitio web actualizado a una versión inevitable de OpenSSL
• El sitio web se volvió a codificar y se volvió a emitir su certificado, con la misma fecha no válida anterior al 2012-10-21
• Hoy, cuando inspecciono el sitio, me parece que no es vulnerable a las hemorragias cardíacas y que utilizo un certificado con una fecha anterior no válida de 2012-10-21

Situación 2 (insegura):

• El sitio web era vulnerable a los ataques cardíacos y el uso de un certificado no válido antes del 2012-10-21
• Sitio web actualizado a una versión inevitable de OpenSSL
• Hoy, cuando inspecciono el sitio, me parece que no es vulnerable a las hemorragias cardíacas y que utilizo un certificado con una fecha anterior no válida de 2012-10-21

Por lo que yo entiendo, estas dos situaciones son indistinguibles para mí como un usuario final que nunca antes ha visitado el sitio web en cuestión. ¿Qué me estoy perdiendo?

Para su información, la situación 1 es aparentemente el caso de * .wikipedia.org. Dijeron que esa es la forma en que Digicert vuelve a emitir certificados.

Zmap.io tiene una lista de cambios en los certificados para los 5.000 sitios más populares. Tenga en cuenta que la fecha indicada allí no se basa en la fecha No válida antes del certificado en sí y, por lo tanto, debe representar una fecha precisa de cuándo se modificó el certificado por última vez. (Utilicé Wikipedia.org para verificar esto, ya que obtienen sus certificados de DigiCert, quienes retroceden la fecha de No válido antes de volver a escribir los certificados).

Se vinculan a los datos en bruto que utilizaron, que presumiblemente cubre mucho más que solo los 5.000 sitios principales, pero en el momento en que escribo esto, el sitio no responde.

Otro proyecto que recolecta huellas digitales de certificados es Convergence . Todavía no he explorado para ver si puedes extraer huellas dactilares y fechas, pero si lo estuvieras usando antes de HeartBleed, probablemente te avisaría cuando el certificado de un sitio cambiara (a menos que la mayoría de las personas que lo usan ya hayan aceptado el nuevo certificado para ese sitio). Irónicamente, ninguna advertencia en esta situación sería una indicación de que no estaba a salvo y una advertencia sería una indicación de que estaba a salvo.

Puede buscar la CRL de la Autoridad de Certificación (es decir, http://www.verisign.com/repository/crl.html de VeriSign) y ver si han revocado recientemente el certificado anterior, pero para hacerlo generalmente necesitará el certificado anterior número de serie. También podría, si tuviera el número de serie anterior, simplemente compararlo con el nuevo.

El problema es que no hay mucho que realmente pueda hacer para ver si es un certificado diferente al anterior sin el número de serie del certificado anterior.