Нужно ли периодически менять параметры ssl_dhparam в Nginx?
Нужно ли периодически генерировать новый файл dhparams для директивы ssl_dhparam для Nginx, дабы PFS работало? Плохо понимаю механизм работы этого всего, но почему-то кажется, что если уж тут есть какая-то штука, генерируемая, и совершенно независимая от чего-либо еще (в отличие от тех же сертификатов, ключей HPKP, и т д) - её надо менять порой. Или не надо?
Не надо. Эти DH-параметры не являются чем-то секретным в отличие от ключей. Для протокола главное, чтоб задавали их Вы, чтоб они не были "уязвимыми" (сгенерированными дырявым софтом). Ну и генерятся они долго, поэтому сложно (да и бессмысленно) их генерировать при каждом использовании.
