Let’s Encryptからメール、問題の9月30日になった。

はじめに

Let’s Encryptからメールに書かれていた問題の9月30日になった。

今日の事をすっかり忘れてしまっていたのであるが、ログ解析ソフトをみると、

Let’s Encryptからメールが届いた。なんのこっちゃ のアクセスが本日、急上昇している。

といっても、週間ランキングに入るまでには至っていない。

 

とあたりを付けた。

 

スマホだって除菌したい

 

証明書の確認をしてみる

 

私の予想していたものとは少し違っていた

 

一部は、ある程度予想された通りだったが、ほとんどが私が予想した物とは異なっていた。

前の記事では以下のように予想、想定していた。

現状、今までは

• おっさんの自宅サーバーは中間CA：Let’sEncripyによって証明されている。
• 中間CA：Let’sEncripyはDSTルートCA X3 によって証明されている。

今後は、

• DST ルート CA X3 は 2021 年 9 月 30 日に証明書の期限切れになる。
•  2021 年 9 月 30 日以降(または、その日より前）より新しいルート証明書(ISRGルートX1)が発行される。

 

DST ルート CA X3 は 2021 年 9 月 30 日でも使用（期限切れになっていない？）されている

 

2021 年 9 月 30 日以降(または、その日より前）より新しいルート証明書(ISRGルートX1)として扱われているようにも見える。

ISRGはISRG Root X1と表示されており、ルートCAとして扱われているようにも見える。

ただ、さらに上位にDST ルート CA X3が存在している。

なんか理屈に合わず矛盾しているような感じだ。

証明書の階層構造をよーくみるとISRGは

よーくみるとISRGにはCA（認証局）の文字は無く配下にR3（Let’s Encrypt）がある。R3が格下げられたような形態のようにも見える。

しかしISRGにはRootの文字があり権威のある認証局のようにも見える。

なんか、どっちつかずのようなISRG Root X1 である。

 

Let’s Encryptのドキュメントには「１つの重要な例外がある」と書かれている。
「DSTルートCA X3からの特別なクロスサインのおかげで」と言う文言がこのどっちつかずに該当するのだろうか？

1つの重要な例外があります:ISRGルートX1を信頼していない古いAndroidデバイスは、そのルートの有効期限を過ぎて拡張するDSTルートCA X3からの特別なクロスサインのおかげで、Let’s Encryptで動作し続けます。この例外は、Android でのみ機能します。

引用　https://letsencrypt.org/docs/dst-root-ca-x3-expiration-september-2021/

 

こんな概念図がありました。これを見ると、現時点のdon-don.0am.jpの証明書のパスは図の緑のライン＝New Default Chainと合致している。

https://letsencrypt.org/2020/12/21/extending-android-compatibility.html　より引用

 

以上、今わかっていることはこんな感じだ。

特に自宅サーバー管理者側から何かアクションを起こす必要はなく、認証局のパスが自動的に変更されるという事のようだ。