In Ephemeral Diffie-Hellman, la coppia di chiavi viene generata ogni volta.
In pratica, significa che non ho mai bisogno di un certificato? O questo significa che ho bisogno di un nuovo certificato ogni volta?
Hai bisogno di un certificato, perché i parametri di Diffie-Hellman devono essere firmati . Diffie-Hellman ha senso solo se il client può fare affidamento sull'autenticità dei parametri (nel senso che provengono effettivamente dal server). Altrimenti un attacco man-in-the-middle sarebbe banale.
Hai solo bisogno di un certificato standard RSA (o DSA). In effetti, l'unica differenza tra suite di crittografia basate su DHE e suite RSA "classiche" è il modo in cui il certificato è usato : con DHE, il certificato viene utilizzato solo per le firme, non per la crittografia.
DH si occupa solo dello scambio di chiavi. In pratica avrete bisogno di qualche forma di autenticazione, ad es. RSA o DSA per TLS. IPSec consente anche chiavi pre-condivise. Senza autenticazione, la comunicazione sarà sempre suscettibile agli attacchi man-in-the-middle.
Leggi altre domande sui tag certificates key-exchange diffie-hellman