Данная рассылка касается Вас, если для своих сайтов или иных сервисов Вы используете SSL-сертификаты (как платные, так и самоподписанные).
С сожалением сообщаем, что в свете недавно обнаруженной уязвимости в библиотеках OpenSSL, у злоумышленников была возможность похитить Ваши приватные ключи и сами сертификаты и использовать их для расшифровки Вашего трафика либо для создания фишинг страниц, которые клиенты никак не смогут отличить от оригинального сайта.
Это несет серьезную угрозу безопасности Ваших данных и данных посетителей Ваших сайтов, теоретически в любой момент Ваш сертификат может быть использован злоумышленниками для совершения противоправных действий, в частности, кражи личных данных. В связи с этим настоятельно рекомендуем Вам:
- Обязательно сгенерировать новый приватный ключ т.к. нет причин полагать, что текущий не был украден. Это можно сделать командой:
# openssl genrsa -des3 -out /root/private.key 2048
- Сгенерировать новый запрос на получение сертификата, CSR, на основании нового ключа. Это можно сделать командой:
# openssl req -new -key /root/private.key -out /root/request.csr
- Связаться со своим центром аттестации (компанией, выпустившей Ваш сертификат) и на основании новых данных получить новый сертификат, процедура для каждого ЦА может отличаться и должна быть известна Вам.
После этого Ваш сертификат можно будет считать надежным и безопасным.
Просим Вас иметь в виду, что отказавшись от выполнения данных действий Вы подвергаете риску не только свои данные, но и данные посетителей Ваших сайтов.
Обращаем Ваше внимание на тот факт, что вопросы по данной тематике следует адресовать Вашему ЦА, но не к нашей службе поддержки, мы никаким образом не сможем перевыпустить сертификаты для Вас.
Возможно, для специалиста тут все понятно, но у меня сразу возникла куча вопросов:
