¿Tengo que actualizar mi certificado de snakeoil después de actualizar openssl (heartbleed)?

Acabo de actualizar mi servidor Debian Wheezy a la versión más reciente del paquete openssl que tiene el error reparado.

Apoyo SSL en mi servidor, pero solo con un certificado snakeoil. Me preguntaba si realmente hay alguna preocupación de seguridad sobre la actualización del certificado de snakeoil también o ¿puedo dejarlo como está porque es un certificado de snakeoil de todos modos?

Esta pregunta podría provenir de mi falta de conocimiento sobre ssl ... pero gracias de antemano por cualquier explicación si debo cambiar mi certificado de snakeoil y, en caso afirmativo, por qué :)

No, no necesita molestarse en actualizarlos.

Es cierto que ahora que el error de heartbleed (posiblemente) ha expuesto su clave privada, cualquier tercero en la ruta de red entre sus usuarios y su servidor ("man in the middle") puede ver todos los datos, ya que no se cifraron.

Sin embargo, para los certificados de snakeoil, eso no difiere mucho del caso de uso regular de claves no comprometidas, ya que el ataque MITM en certificados que no son CA es en la práctica igualmente trivial . (tenga en cuenta que existe una diferencia técnica entre esos dos problemas de seguridad, pero en la práctica tienen el mismo "peso", por lo que no hay mucha diferencia en el mundo real)

Dado que está utilizando certificados de snakeoil (en lugar de los suyos, o de alguna otra CA confiable) y presumiblemente ignora cualquier advertencia en dichos certificados, debe tener en cuenta que los datos en tales conexiones SSL no son realmente más seguros que la conexión de texto sin formato. Los certificados de Snakeoild están diseñados solo para que usted pruebe técnicamente las conexiones antes de instalar un certificado real (ya sea firmado por su propia CA y dependiendo de su PKI, preferible pero mucho más trabajo) o confiando en alguna CA comercial y pagando por el menor trabajo pero menos seguridad)

Entonces, en general, el error de heartbleed tiene dos efectos:

1. permitiendo lectura aleatoria de memoria; que se corrige en el momento en que se aplica la actualización de seguridad
2. haciéndolo inseguro si sus certificados SSL firmados por CA ahora son (en términos de seguridad) tan inútiles como los de serpiente de serpiente (y por lo tanto deben ser regenerados y reeditados desde una fuente confiable). Y si estabas usando snakeoil en primer lugar, eso obviamente no es un problema.

Bueno, para empezar, NO DEBERÍAS usar un snakeoilcertificado .

Para mitigar adecuadamente el ataque sangriento, DEBE REVOCAR los certificados potencialmente comprometidos, que generalmente no puede hacer con snakeoilotros certificados autofirmados .

Si no puede pagar los certificados emitidos por la Autoridad de Certificación real (o si está trabajando en un entorno privado), debe configurar su propia CA y publicar una Lista de revocación de certificados adecuada para que pueda mitigar compromisos como este (así como las claves perdidas , etc.)
Sé que es mucho más trabajo, pero es la forma correcta de hacer las cosas.

Dicho todo esto, sí , debe reemplazar este certificado y clave si desea garantizar la seguridad e integridad de las comunicaciones futuras, por lo que ahora es un buen momento para cambiar a una clave emitida por una Autoridad de Certificación conocida o para establecer su propia CA interna .

Suponiendo que usted (o clientes, usuarios, etc.) haya pasado o pasará información confidencial a través de SSL, sí. Contraseñas, cualquier otra cosa que quisieras encriptar porque no la querías en texto plano. Si.

Si realmente no te importa si esas cosas están potencialmente en estado salvaje como texto sin formato, entonces no lo hagas.

Si le importa, no olvide cambiar su clave privada antes de colocar el nuevo certificado.