定期的にdhparamを再生成する
NGINXで使用されるdhparamファイルをサーバーで定期的に再生成すると、接続のセキュリティが向上しますか？毎週？
これからどのような問題が発生する可能性がありますか？
これを行う利点はありますか？
NGINXで使用されるdhparamファイルをサーバーで定期的に再生成すると、接続のセキュリティが向上しますか？毎週？
いいえ、それほどではありません。
DHパラメータは実際には、生成されるまでに長い時間がかかる単なる素数です（ 安全素 である必要があるため）。さらに、いわゆる「ジェネレーター」がありますが、これは安価に生成できます。
現在、2048ビット以上の安全なプライムでネゴシエートされたDH接続を切断することは不可能です。したがって、毎週安全な素数を再生成する場合、「壊れない」ことによる追加のセキュリティは得られません。ただし、これを独自の適切な（強力な）パラメーターを一度生成することと混同しないでください。これは、インターネット規模の Logjam 攻撃をはるかに困難にするためですが、すでに述べたように、パラメーターを壊すことはできないため、オプションです。
これからどのような問題が発生する可能性がありますか？
より多くの計算負荷。パラメータの生成は、おそらく遭遇する最も強力な暗号計算の1つです。
これを行う利点はありますか？
あなたは「超前方機密」のようなものを得ます。一時的なDiffie-Hellmanを使用すると、攻撃者は各接続を個別に切断して平文を復元する必要があります。パラメータごとに1つの巨大な事前計算を実行し、各接続に対して最後のステップのみを実行するというLogjamトリックを適用すると、接続ごとの負荷を減らすことができます。パラメータを定期的に変更する場合、Logjamスタイルの攻撃が及ぼす影響を制限します。ただし、Logjamに必要なアルゴリズムを実行することは、長い素数（たとえば、2048ビット以上）を使用するDHパラメータでは実行できません。