Tag: compatibility

同樣是「Standing on Our Own Two Feet」這篇文章，Let's Encrypt 預期明年九月後會在 Android 上遇到嚴重的相容性問題。

很舊的裝置主要是透過 IdenTrust 的 Root CA (DST Root CA X3) 對 Let's Encrypt 的 Intermediate CA (目前主要是 Let's Encrypt Authority X3) 簽名，從而建立憑證的信任鍊，而新的裝置除了 IdenTrust 的 CA 外，也信任了 Let's Encrypt 自家的 Root CA (ISRG Root X1)：(出自「Chain of Trust」)

在 2016 年四月正式對外啟用時主要是靠 IdenTrust 的 cross-sign，而也是在 2016 年時 Let's Encrypt 自家的 Root CA (ISRG Root X1) 陸陸續續被各家收進 CA store。

所以這個時間點之前的 Android (大約是 7.1.1) 算是個相容性的分界線，在這個版本前 (而且系統無法更新的) 都只能靠 IdenTrust 的 cross-sign，這看起來大約有 33.8%，實際的流量大約是 1%～5%：

Currently, 66.2% of Android devices are running version 7.1 or above. The remaining 33.8% of Android devices will eventually start getting certificate errors when users visit sites that have a Let’s Encrypt certificate. In our communications with large integrators, we have found that this represents around 1-5% of traffic to their sites. Hopefully these numbers will be lower by the time DST Root X3 expires next year, but the change may not be very significant.

目前還有大約十個月左右的緩衝期，但大家都知道 Android 的更新速度，就十個月來說看起來不太樂觀...

官方有給他們不願意再取得一次 cross-sign 的原因，不過我覺得這個理由就很怪了，這個描述看起來是 IdenTrust 不願意再簽發一次？直覺覺得 IdenTrust 站在商業立場應該是很願意才對？而且除了 IdenTrust，應該也有其他家會有興趣？

Can we get another cross-signature? We’ve explored this option and it seems unlikely. It’s a big risk for a CA to cross-sign another CA’s certificate, since they become responsible for everything that CA does.

也有可能是放個話讓 IdenTrust 表態？先繼續看下去...

最差的情況應該就是沒有 cross-sign，然後也沒提供其他的 workaround，這樣就是買一般的 SSL certificate 來解了...