openssl - 修补 Heartbleed 后是否有新的 SSL 证书？

Question

我们已经升级了我们的服务器并重新生成了任何 cpanel / dovecot / ssh 密钥。我们的客户是否还需要重新生成 CSR 和 SSL 证书？

我还没有看到任何关于这方面的信息。

谢谢

Answer 1

使用 Heartbleed 可以检索私钥。

因此，如果您很容易受到攻击，是的，强烈建议您的客户更改他们的私钥。

Answer 2

根据Unix/Linux SE 上的这个线程，

如何修复漏洞？
...
生成新密钥。这是必要的，因为该漏洞可能允许攻击者获取旧私钥。遵循您最初使用的相同程序。

而这个关于 Security SE 的答案：

这不仅仅意味着每个受影响的服务器的新证书（或者更确切地说是新的密钥对）。
...
总结自heartbleed.com（重点是我的）：
...
什么是泄露的主密钥材料以及如何恢复？

这些是皇冠上的宝石，加密密钥本身。

Serverfault SE 上的这个线程：

如 Heartbleed 网站所述，适当的响应步骤大致如下：

1. 修补易受攻击的系统。
2. 重新生成新的私钥。
3. 向您的 CA 提交新的 CSR。
4. 获取并安装新的签名证书。
5. 撤销旧证书。

所以是的，我强烈建议您更改任何和所有密钥/证书。我还建议完整阅读这些主题以及它们引用的一些主题。有相当多的关于跨安全和 Serverfault SE 的错误的信息。