当私钥泄露时该怎么办？

私钥是SSL/TLS证书体系的信任基石。一旦泄露，意味着任何持有该私钥的人都能冒充您的网站进行中间人攻击，且通信的机密性荡然无存。此时必须保持冷静，按照预先制定的应急响应计划，快速、有序地完成吊销、更换、调查、加固四大步骤，将损失降到低。
一、第一步：立即吊销证书
这是紧急、关键的措施，目的是告知全世界“此证书已不可信”。
获取证书序列号： 从证书管理平台或服务器上找到泄露证书的序列号。
提交吊销请求： 立即登录为您签发证书的证书颁发机构管理平台。在证书管理页面找到“吊销证书”选项。通常需要提供吊销原因，选择“密钥泄露”。
使用吊销码： 某些CA在签发时会提供一个吊销码，此时需使用该码进行吊销，流程更快捷。
确认吊销： 提交后，CA会处理请求并将该证书加入其证书吊销列表和OCSP响应器。此后，浏览器在验证时会被告知此证书已失效。
注意： 吊销操作是不可逆的。确保此举是基于密钥已确认泄露或高度怀疑泄露。
二、第二步：紧急更换证书与私钥
吊销只是废除了旧“身份证”，必须立即办理新“身份证”。
生成新的密钥对： 在安全的环境中，生成全新的、强度更高的RSA或ECC密钥对。绝对禁止使用已泄露的私钥来生成新的证书签名请求。
申请并安装新证书： 使用新的CSR，向CA申请一张全新的证书。为了速度，可先申请一张DV证书应急。获得新证书后，立即在受影响的服务器上部署新证书和新私钥，并重启Web服务。
更新所有相关系统： 如果该证书和私钥还用于其他服务，务必全部进行更换。
三、第三步：全面安全调查与影响评估
在遏制事态后，需立即展开调查，回答关键问题。
泄露范围评估： 确认是单一服务器上的文件泄露，还是代码仓库、备份文件等更底层的泄露？这决定了影响范围。
泄露途径分析： 调查泄露是如何发生的。常见途径包括：服务器被入侵、代码仓库访问控制不当、私钥误提交到公开的Git仓库、内部人员恶意拷贝、备份文件丢失等。
影响评估： 评估在泄露发生到证书被吊销的“窗口期”内，是否存在被中间人攻击的可能。检查服务器访问日志，寻找异常。
四、第四步：根因修复与安全加固
调查后，必须修复导致泄露的根本问题，防止重演。
加强私钥存储安全： 这是核心。严禁将私钥以明文形式存放在代码或配置文件中。应使用安全的密钥管理服务、硬件安全模块，或至少通过加密方式存储，严格限制访问权限。
改进访问控制： 强化服务器、代码仓库的访问权限，遵循小权限原则。
启用日志审计： 加强对私钥文件访问行为的日志记录和监控。
重新审视流程： 审查证书和密钥的管理流程，加入更严格的控制和审批环节。
总结
私钥泄露是严重的安全事件。能否化险为夷，取决于是否拥有成熟的应急响应能力。立即吊销证书是切断威胁，更换证书是恢复服务，深入调查是查明真相，而彻底加固才是真正的浴火重生。