Preciso atualizar meu certificado snakeoil após atualizar o openssl (heartbleed)?

Acabei de atualizar meu servidor debian wheezy para a versão mais recente do pacote openssl, com o bug corrigido.

Apoio SSL no meu servidor, mas apenas com um certificado snakeoil. Eu só estava me perguntando se há realmente alguma preocupação de segurança sobre a atualização do certificado snakeoil também ou posso simplesmente deixá-lo como está porque é um certificado snakeoil de qualquer maneira?

Esta pergunta pode vir do meu conhecimento insuficiente sobre ssl ... mas agradeço desde já por qualquer explicação se devo alterar meu certificado snakeoil e, se sim, por que :)

Não, você não precisa se preocupar em atualizá-los.

É verdade que agora que esse bug insensível (possivelmente) expôs sua chave privada, qualquer terceiro no caminho da rede entre seus usuários e seu servidor ("homem no meio") pode ver todos os dados, pois não foram criptografados.

No entanto, para certificados de cobra, isso não difere muito do caso de uso regular de chaves não comprometidas, pois o ataque do MITM a certificados que não são da CA é, na prática, igualmente trivial . (observe que há uma diferença técnica entre esses dois problemas de segurança, mas, na prática, eles têm o mesmo "peso", de modo que não faz muita diferença no mundo real)

Como você usa certificados snakeoil (em vez dos seus ou de alguma outra autoridade de certificação confiável) e, portanto, presumivelmente ignora todos os avisos em tais certificados, você deve estar ciente de que qualquer dado nessas conexões SSL não é realmente mais seguro que a conexão em texto sem formatação. os certificados snakeoild destinam-se apenas para que você teste tecnicamente as conexões antes de instalar o certificado real (assinado pela sua própria CA e dependendo da sua PKI - preferível, mas muito mais trabalhoso; ou confiar em alguma CA comercial e pagar pelo menos trabalho, mas menos) segurança)

Portanto, em geral, o bug de coração afetado tem dois efeitos:

1. permitindo leitura aleatória da memória; que é corrigido no momento em que a atualização de segurança é aplicada
2. tornando-o inseguro se seus certificados SSL assinados pela CA são agora (em termos de segurança) tão inúteis quanto os certificados de snakeoil (e, portanto, precisam ser regenerados e reemitidos de fontes confiáveis). E se você estava usando óleo de cobra em primeiro lugar, isso obviamente não é problema.

Bem, para iniciantes, você NÃO DEVE usar um snakeoilcertificado .

A fim de mitigar adequadamente o ataque heartbleed você DEVE REVOKE os certificados potencialmente comprometidos, que você geralmente não pode fazer com snakeoilou outros certificados auto-assinados.

Se você não puder pagar certificados reais emitidos pela Autoridade de Certificação (ou estiver trabalhando em um ambiente privado), configure sua própria CA e publique uma Lista de revogação de certificados adequada para poder mitigar compromissos como este (assim como chaves perdidas , etc.)
Sei que é muito mais trabalhoso, mas é o caminho certo para fazer as coisas.

Tudo isso dito, Sim - você deve substituir este certificado e chave se quiser garantir a segurança e a integridade das comunicações futuras, agora é uma boa hora para mudar para uma chave emitida por uma Autoridade de Certificação conhecida ou para estabelecer sua própria CA interna .

Supondo que você (ou clientes, usuários, etc) já tenha passado ou passará informações confidenciais sobre SSL, sim. Senhas, qualquer outra coisa que você quisesse criptografada porque não queria em texto simples. Sim.

Se você realmente não se importa se essas coisas estão potencialmente em estado selvagem como texto simples, não o faça.

Se você se importa, não se esqueça de alterar sua chave privada antes de colocar o novo certificado.