openssl - Heartbleed にパッチを適用した後の新しい SSL 証明書はありますか?

Question

サーバーをアップグレードし、cpanel / dovecot / ssh キーを再生成しました。お客様も CSR および SSL 証明書を再生成する必要がありますか?

この側面に関する情報は見たことがありません。

ありがとう

Answer 1

Heartbleed を使用すると、秘密鍵を取得できます。

そのため、脆弱な場合は、はい、顧客に秘密鍵を変更することを強くお勧めします。

Answer 2

Unix/Linux SE のこのスレッドによると、

この脆弱性を修正するにはどうすればよいですか?
...
新しいキーを生成します。これが必要なのは、このバグにより、攻撃者が古い秘密鍵を入手できた可能性があるためです。最初に使用したのと同じ手順に従います。

そして、Security SEに関するこの回答：

これは、影響を受けるすべてのサーバーの新しい証明書 (または新しいキー ペア) だけではありません。
...
heartbleed.com からの要約 (強調は私のもの):
...
漏えいした主キーの内容と回復方法は?

これらは王冠の宝石であり、暗号化キーそのものです。

そして、Serverfault SE のこのスレッド:

Heartbleed サイトに記載されているように、適切な対応手順は大まかに次のとおりです。

1. 脆弱なシステムにパッチを適用します。
2. 新しい秘密鍵を再生成します。
3. 新しい CSR を CA に送信します。
4. 新しい署名付き証明書を取得してインストールします。
5. 古い証明書を無効にします。

はい、すべてのキー/証明書を変更することを強くお勧めします。また、これらのスレッド全体と、それらが参照するスレッドの一部を読むことをお勧めします。Security SE と Serverfault SE にまたがるバグに関するかなりの情報があります。