这是一个创建于 1430 天前的主题，其中的信息可能已经有所发展或是发生改变。
https://letsencrypt.org/2020/12/21/extending-android-compatibility.html
根证书续期后签发的证书，OCSP 验证服务器还会变吗？
目前已经换成 ZeroSSl，同样也支持 ACME 自动化部署和泛域名；
本来挺期待新证书的，再观望观望吧..
 |
1
whileFalse 2020-12-23 09:44:44 +08:00
就问对用户有什么影响？
|
 |
2
alan0liang 2020-12-23 16:40:32 +08:00 via Android
@whileFalse Android 7- / iOS 9- 可以免配置直接继续用，之前说的是明年 9 月之后就不行了
|
|
3
whileFalse 2020-12-23 16:55:27 +08:00
@alan0liang 那其实是原来有影响，现在没有影响……
|
 |
4
Noisky OP @whileFalse Let's Encrypt 的 OCSP 验证服务器因不可抗拒的原因是无法访问的，这会导致在某些要求强制验证 OCSP 的浏览器下，第一次打开会变慢，具体体现在 IE 和 Safari 上；不过可以通过服务器缓存 OCSP 响应的方式来暂时解决，不过还是治标不治本
|
|
5
alan0liang 2020-12-23 19:49:43 +08:00 via Android
@Noisky 看他这意思不是根证书续期，而是直接拿 DST Root CA 签了 ISRG Root X1 （本来是 root，新链里变成了一级 intermediate ），相当于是强行让原来没有 ISRG 根的设备也承认这个根；真正签最终的证书的还是 R3 （之前是一级，新链里的二级 intermediate ）没变，所以 OCSP 服务器应该暂时还是 R3 标的 r3.o.lencr.org ；而 R3 过期（ 2021-9-30 ）之后肯定会变（ r5.o.lencr.org ？）
|
 |
6
shansing 2020-12-25 14:11:36 +08:00
@alan0liang 楼主链接里的文章只说了 Android，请问 iOS 是在哪提到的？
|
|
7
alan0liang 2020-12-25 18:39:50 +08:00 via Android  1
@shansing iOS 9- 的设备实在是太少了（不过我家里恰好有一个 iOS 7 的 iPad，所以能确认至少 iOS 7 还没有），所以文章没有提到；但是 ISRG Root X1 确实是在 iOS 10 才引入的。您可以到 Apple 的网站上查证：iOS 9 https://support.apple.com/zh-cn/HT205205 里面没有提到 ISRG Root X1，而 iOS 10 https://support.apple.com/zh-cn/HT207177 里面有。
|
|
8
shansing 2020-12-25 21:16:38 +08:00 1
@alan0liang 我知道 ISRG Root X1 不兼容 iOS 9-，问题是怎么确定 iOS 9- “可以免配置直接继续用”，因为原文只说对于 Android 可以继续用旧根 DST Root CA X3 （交叉）签名，因为 Android 会无视其 notAfter 字段，没有说 iOS 也不校验根证书的时间。
|
|
9
alan0liang 2020-12-26 10:42:20 +08:00 via Android 1
@shansing 我确实没注意到这个问题……我回头去试试
Stack Exchange 上有一个相关问题： https://security.stackexchange.com/a/120471，按照回答的意思（我理解）是一般的现代实现都不要求根证书在有效期内，但是不能依赖这个特性，因为不同的系统上可能有不同的实现。 |
 |
10
SHENGXINKAI 2020-12-29 15:10:25 +08:00
好像还是可以用的吧，就是信任度有点问题，要求不高的也无所谓，但对于交叉根证书问题一直是硬伤。
|
 |
12
wql 2021-01-16 21:18:47 +08:00 via Android
该用还是用着，这种小 CA 不可能跟某个现在属于 360 的公司那样直接收购一个已有根证书的……
|
Select Language