我刚刚将我的 debian wheezy 服务器更新到 openssl 包的最新版本，该版本已修复 heartbleed 漏洞。
我的服务器确实支持 SSL，但只支持蛇油证书。我只是想知道更新蛇油证书是否真的存在任何安全问题，或者我是否可以保持原样，因为它无论如何都是蛇油证书？
这个问题可能来自于我对 SSL 缺乏了解...但是提前感谢大家对我是否应该更改我的 snakeoil 证书的解释，如果是，为什么 :)
答案1
不，您不需要费心去更新它们。
确实，现在 heartbleed 漏洞（可能）已经暴露了您的私钥，您的用户和服务器之间的网络路径上的任何第三方（“中间人”）都可以看到所有未加密的数据。
然而，对于 Snakeoil 证书来说，这与未泄露密钥的常规使用情况没有太大区别，因为对非 CA 证书的 MITM 攻击在实践中同样微不足道（请注意，这两个安全问题在技术上存在差异，但实际上它们的“重要性”相同，因此在现实世界中并没有太大区别）
由于您使用的是 snakeoil 证书（而不是您自己的或其他受信任的 CA），因此可能会忽略此类证书上的任何警告，因此您应该知道此类 SSL 连接上的任何数据实际上并不比纯文本连接更安全。snakeoild 证书仅用于在安装真实证书之前对连接进行技术测试（由您自己的 CA 签名并取决于您的 PKI - 最好但工作量更大；或者信任某些商业 CA，并为较少的工作但较低的安全性付费）
因此一般来说，heartbleed bug 有两个影响：
- 允许随机内存读取；这在应用安全更新时已修复
- 让您不确定您的 CA 签名 SSL 证书现在（从安全角度来看）是否与蛇油证书一样毫无价值（因此必须从受信任的来源重新生成并重新颁发）。如果您一开始就使用蛇油，那显然不是问题。
答案2
首先你不应该使用snakeoil证书。
为了适当缓解心脏出血攻击，你必须 撤销可能受到损害的证书，通常您无法使用snakeoil或其他自签名证书来做到这一点。
如果您买不起真正的证书颁发机构颁发的证书（或者您在私人环境中工作），您应该建立自己的 CA 并发布适当的证书吊销列表，以便您可以减轻此类危害（以及丢失密钥等）。
我知道这需要做很多工作，但这是正确的做事方式。
尽管如此，是的-您必须更换此证书和密钥如果你想确保未来通信的安全性和完整性，那么现在是切换到已知证书颁发机构颁发的密钥的好时机，或者建立自己的内部 CA。
答案3
假设您（或客户、用户等）曾经或将通过 SSL 传递敏感信息，那么答案是肯定的。密码、您知道的任何其他信息通缉加密了，因为你不想以明文形式显示。是的。
如果你真的不关心这些内容是否会以明文形式流传，那就不要管。
如果您确实在意，请不要忘记在提交新证书之前更改您的私钥。