[Posodobitev: kriza je preprečena] Številna spletna mesta bi se lahko leta 2021 pokvarila na starejših telefonih Android

Posodobitev 1 (12/22/2020 @ 01:01 zjutraj ET): Let's Encrypt je našel način, da starejši telefoni Android prihodnje leto še naprej obiskujejo spletna mesta, ki uporabljajo njihove certifikate. Izvirni članek, kot je bil objavljen 9. novembra 2020, je ohranjen spodaj.

čeprav Projekt Treble je igral pomembno vlogo pri izboljšanju distribucije najnovejših različic Androida v zadnjih nekaj letih, razdrobljenost ostaja ena največjih pomanjkljivosti ekosistema Android. Ogromen kos naprav Android, ki so trenutno v uporabi, ima zastarele različice operacijskega sistema, kar lahko povzroči različne težave. Na primer, številna spletna mesta bi se lahko prihodnje leto pokvarila na starejših napravah Android zaradi poteka korenskega potrdila.

Ko je Let's Encrypt, neprofitni overitelj potrdil, ki ponuja brezplačna potrdila za šifriranje TLS, prvič predstavljen pred nekaj leti, je organizacija navzkrižno podpisala z

Certifikat IdenTrust DST Root X3, korensko potrdilo, ki se uporablja že leta in mu zaupa večina glavnih programskih platform, vključno z Windows, iOS, Android, macOS in številnimi distribucijami Linuxa. Do danes je na milijone spletnih domen zaščitenih s certifikati Let's Encrypt, a kot je poudarjeno v nedavna objava v spletnem dnevniku podjetja Let's Encrypt bo korensko potrdilo DST Root X3 poteklo 1. septembra 2021.

Partnerstvo Let's Encrypt z IdenTrust je bilo potrebno, da so obstoječe naprave lahko hitro zaupale potrdilom prvega, toda pri istočasno je organizacija izdala lastno korensko potrdilo (ISRG Root X1) in si prizadevala, da bi mu zaupala večina večjih operativnih sistemi. Vendar pa nekatera programska oprema, ki ni bila posodobljena od leta 2016, ne bo zaupala novemu korenskemu potrdilu, ki vključuje naprave Android z različicami manj kot 7.1.1. Zato, ko naslednje leto poteče korensko potrdilo DST Root X3, številne starejše naprave Android ne bodo več zaupale potrdilom izdal Let's Encrypt in bo tako dobil napake potrdila ob obisku spletnih mest, katerih šifriranje TLS je podpisano z Let's Encrypt potrdilo.

Glede na najnovejša statistika distribucije Androida izpeljano iz Android Studio (prikazano spodaj), 33,8 % naprav Android v obtoku od aprila 2020 uporablja različice Android, starejše od 7.1 Nougat. To predstavlja približno 1-5 % prometa na spletnih mestih, ki imajo certifikat Let's Encrypt. Medtem ko se bo odstotek naprav s starejšimi različicami operacijskega sistema Android nedvomno zmanjšal za DST Root X3 poteče naslednje leto, padec v odstotkih morda ne bo pomemben glede na trenutno trendi.

Da bi zmanjšali vpliv te spremembe na končne uporabnike, je Let's Encrypt ponudil dve rešitvi. Prva rešitev, ki je namenjena lastnikom spletnih mest, bo januarja prihodnje leto uvedla spremembo Let's Encrypt API, tako da »Odjemalci ACME bodo privzeto služili verigi potrdil, ki vodi do ISRG Root X1.Vendar pa bo mogoče služiti tudi nadomestni verigi potrdil za isto potrdilo, ki vodi do DST Root X3 in ponuja širšo združljivost."

Končnim uporabnikom, ki imajo napravo s starejšo različico Androida, Let's Encrypt predlaga namestitev Firefoxa, da bi se izognili tej težavi. Za razliko od standardnih brskalniških aplikacij, ki se zanašajo na operacijski sistem za seznam zaupanja vrednih korenskih potrdil, ima Firefox dobavljen lasten seznam zaupanja vrednih korenskih potrdil. Najnovejša različica Firefox za Android vključuje posodobljen seznam zaupanja vrednih overiteljev potrdil in bo uporabnikom z zastarelo različico Androida omogočil odpiranje spletnih mest, ki imajo potrdilo Let's Encrypt.

Posodobitev 1: Razširjena združljivost starejših naprav Android za potrdila Let's Encrypt

Kot je bilo napovedano danes v objavi v blogubodo starejše naprave Android z različicami Androida pred 7.1.1 lahko obiskovale spletna mesta, ki uporabljajo Potrdila Let's Encrypt po izteku njihovega prvotnega navzkrižnega partnerstva z IdenTrust naslednjič leto. Izkazalo se je, da Android ne "uveljavlja datumov poteka veljavnosti potrdil, ki se uporabljajo kot sidra zaupanja." Zaradi tega je IdenTrust izdal a 3-letna pogodba o navzkrižnem podpisovanju za potrdilo Let's Encrypt ISRG Root X1 iz njihovega DST Root CA X3, čeprav bo slednje poteklo naslednje leto. Kot tak ne bo vplival na uporabnike s starejšimi telefoni Android, s čimer bi se izognili morebitnemu zlomu številnih spletnih mest na teh napravah.