补丁Heartbleed后是新的SSL证书吗？

Question

我们升级了服务器并重新生成了任何cPanel/dovecot/ssh密钥。 我们的客户是否还需要重新生成CSR和SSL证书？

我还没有看到任何有关这方面的信息。

谢谢

Answer 1

据this thread on Unix/Linux SE，

如何修复漏洞？
...
生成新的密钥。这是必要的，因为该错误可能允许攻击者获取旧的私钥。遵循最初使用的相同步骤。

而且this answer on Security SE：

这不仅仅意味着新的证书（或者更确切地说，新的密钥对）每个受影响的服务器等等。
...
摘自heartbleed.com（重点是我的）：
...
什么是泄漏的主键材料以及如何恢复？

这些是皇冠上的宝石，加密密钥本身。

而且this thread on Serverfault SE：

由于在心脏出血漏洞的网站指出，适当的效应初探步骤大致是：

1. 修补漏洞的系统。
2. 重新生成新的私钥。
3. 向您的CA提交新的CSR。
4. 获取并安装新的签名证书。
5. 撤销旧证书。

所以，我强烈建议您更改任何和所有密钥/证书。我还建议阅读完整的线程以及他们引用的一些线程。关于在安全和Serverfault SE上分布的错误，有相当多的信息。

Answer 2

使用Heartbleed可以检索私钥。

因此，如果您一直存在漏洞，是，强烈建议您的客户更改他们的私钥。