[更新: 危機は回避されました] 2021 年に多くの Web サイトが古い Android スマートフォンで破損する可能性があります

アップデート 1 (12/22/2020 @ 01:01AM ET): Let's Encrypt は、古い Android スマートフォンが来年も証明書を使用するサイトにアクセスし続ける方法を発見しました。 2020 年 11 月 9 日に公開された元の記事を以下に保存します。

それでも プロジェクト・トレブル 過去数年間に Android の最新バージョンの配布を改善する上で大きな役割を果たしてきた、断片化 依然として最大の欠点の1つである Android エコシステムの一部。 現在使用されている Android デバイスの大部分は古いバージョンのオペレーティング システムを実行しているため、さまざまな問題が発生する可能性があります。 たとえば、ルート証明書の有効期限が切れるため、来年には多くの Web サイトが古い Android デバイスで機能しなくなる可能性があります。

TLS 暗号化用の無料証明書を提供する非営利認証局である Let's Encrypt が数年前に初めて立ち上げられたとき、この組織は IdenTrust の DST ルート X3 証明書は、長年使用されてきたルート証明書であり、Windows、iOS、Android、macOS、および多くの Linux ディストリビューションを含む主要なソフトウェア プラットフォームの大部分で信頼されています。 現在までに、何百万もの Web ドメインが Let's Encrypt 証明書で保護されていますが、次の記事で指摘されているように、 最近のブログ投稿 Let's Encrypt によると、DST Root X3 ルート証明書は 2021 年 9 月 1 日に期限切れになります。

Let's Encrypt と IdenTrust のパートナーシップは、前者の証明書が既存のデバイスによってすぐに信頼されるために必要でしたが、 同時に、組織は独自のルート証明書 (ISRG Root X1) を発行し、ほとんどの主要な運用企業から信頼されるように努めました。 システム。 ただし、2016 年以降更新されていない一部のソフトウェアは、新しいルート証明書を信頼しません。これには、バージョンを実行している Android デバイスも含まれます。 7.1.1未満。 したがって、来年 DST Root X3 ルート証明書の有効期限が切れると、多くの古い Android デバイスは証明書を信頼できなくなります。 Let's Encrypt によって発行されたため、TLS 暗号化が Let's Encrypt で署名されている Web サイトにアクセスすると証明書エラーが発生します。 証明書。

による 最新の Android 分布統計 Android Studio (以下を参照) から派生したものであるため、2020 年 4 月の時点で流通している Android デバイスの 33.8% が 7.1 Nougat より古い Android バージョンを実行しています。 これは、Let's Encrypt 証明書を持つ Web サイトへのトラフィックの約 1 ～ 5% に相当します。 古い Android OS バージョンを実行しているデバイスの割合は間違いなく減少しますが、 DST ルート X3 の期限が来年切れるとき、現在の状況に基づくと、パーセンテージの低下はそれほど大きくない可能性があります トレンド。

この変更によるエンドユーザーへの影響を最小限に抑えるために、Let's Encrypt は 2 つのソリューションを提供しました。 最初のソリューションは Web サイト所有者を対象としたもので、来年 1 月に Let's Encrypt API に変更が導入されます。 「ACME クライアントはデフォルトで、ISRG ルート X1 につながる証明書チェーンを提供します。ただし、DST ルート X3 につながり、より広範な互換性を提供する同じ証明書の代替証明書チェーンを提供することも可能になります。」

古いバージョンの Android を実行しているデバイスを使用しているエンドユーザーに対して、Let's Encrypt は、この問題を回避するために Firefox をインストールすることを提案しています。 信頼できるルート証明書のリストをオペレーティング システムに依存する標準のブラウザ アプリとは異なり、Firefox には独自の信頼できるルート証明書リストが付属しています。 最新バージョンの Android 版 Firefox には信頼できる認証局の最新リストが含まれており、古いバージョンの Android を使用しているユーザーでも Let's Encrypt 証明書を含む Web サイトを開くことができます。

アップデート 1: Let's Encrypt 証明書に対する古い Android デバイスの互換性の拡張

本日発表されたとおり ブログ投稿で、7.1.1 より前の Android バージョンを実行している古い Android デバイスは、以下を使用するサイトにアクセスできます。 IdenTrust との元の相互署名パートナーシップが次回期限切れになった後の Let's Encrypt 証明書 年。 Android は「トラスト アンカーとして使用される証明書の有効期限を強制」していないことが判明しました。 このため、IdenTrust は Let's Encrypt の DST Root CA X3 からの ISRG Root X1 証明書に対する 3 年間の相互署名契約 (後者は来年期限切れになりますが) 年。 そのため、古い Android スマートフォンを使用しているユーザーには影響がなく、これらのデバイス上で多くの Web サイトが破損する可能性は回避されます。