Let’s Encryptからメール、問題の9月30日になった。

はじめに

Let’s Encryptからメールに書かれていた問題の9月30日になった。

今日の事をすっかり忘れてしまっていたのであるが、ログ解析ソフトをみると、

Let’s Encryptからメールが届いた。なんのこっちゃ のアクセスが本日、急上昇している。

といっても、週間ランキングに入るまでには至っていない。

そういえば、今日は問題の9月30日、だからアクセスが急上昇しているのか？

とあたりを付けた。

スマホだって除菌したい

証明書の確認をしてみる

私の予想していたものとは少し違っていた

一部は、ある程度予想された通りだったが、ほとんどが私が予想した物とは異なっていた。

前の記事では以下のように予想、想定していた。

現状、今までは

• おっさんの自宅サーバーは中間CA：Let’sEncripyによって証明されている。
• 中間CA：Let’sEncripyはDSTルートCA X3 によって証明されている。

今後は、

• DST ルート CA X3 は 2021 年 9 月 30 日に証明書の期限切れになる。
•  2021 年 9 月 30 日以降(または、その日より前）より新しいルート証明書(ISRGルートX1)が発行される。

DST ルート CA X3 は 2021 年 9 月 30 日でも使用（期限切れになっていない？）されている

2021 年 9 月 30 日以降(または、その日より前）より新しいルート証明書(ISRGルートX1)として扱われているようにも見える。

ISRGはISRG Root X1と表示されており、ルートCAとして扱われているようにも見える。

ただ、さらに上位にDST ルート CA X3が存在している。

なんか理屈に合わず矛盾しているような感じだ。

証明書の階層構造をよーくみるとISRGは

よーくみるとISRGにはCA（認証局）の文字は無く配下にR3（Let’s Encrypt）がある。R3が格下げられたような形態のようにも見える。

しかしISRGにはRootの文字があり権威のある認証局のようにも見える。

なんか、どっちつかずのようなISRG Root X1 である。

Let’s Encryptのドキュメントには「１つの重要な例外がある」と書かれている。
「DSTルートCA X3からの特別なクロスサインのおかげで」と言う文言がこのどっちつかずに該当するのだろうか？

1つの重要な例外があります:ISRGルートX1を信頼していない古いAndroidデバイスは、そのルートの有効期限を過ぎて拡張するDSTルートCA X3からの特別なクロスサインのおかげで、Let’s Encryptで動作し続けます。この例外は、Android でのみ機能します。

引用　https://letsencrypt.org/docs/dst-root-ca-x3-expiration-september-2021/

こんな概念図がありました。これを見ると、現時点のdon-don.0am.jpの証明書のパスは図の緑のライン＝New Default Chainと合致している。

Extending Android Device Compatibility for Let's Encrypt Certificates

Update, May 13, 2021Please visit this post on our community forum for the latest information about chain changes as some...

letsencrypt.org

　より引用

以上、今わかっていることはこんな感じだ。

特に自宅サーバー管理者側から何かアクションを起こす必要はなく、認証局のパスが自動的に変更されるという事のようだ。