7.1.1版以前的Android 装置2021年9月起将不支援Let's Encrypt凭证

免费凭证机构Let\'s Encrypt 上周警告手机跑Android 7.1.1版的用户，明年9月1日起有约1/3 Android装置会出现凭证错误问题。Let\'s Encrypt也呼吁用户升级旧版Android、也希望网站管理员更新凭证。

一些新进入市场的根凭证机构（root certificate authority，root CA）为了加速普及，乃借由与现有CA业者交互签章（cross-signature）的方式扩大在OS及浏览器的信任范围。Let\'s Encrypt也是如此。

Let\'s Encrypt 5年前进入市场时，就是和IdenTrust采行交互签章，它的DST Root X3在市场流通已久为主要平台，包括Windows、macOS、Android、iOS及多种Linux发行版信任。交互签章使Let\'s Encrypt得以立即发行凭证ISRG Root X1。

Let\'s Encrypt首席开发人员Jacob Hoffman-Andrews指出，现在Let\'s Encrypt已经在市场站稳脚步，但同一时间，和其凭证交互签章的DST Root X3却将在2021年9月1日到期。这对使用Let\'s Encrypt凭证的新版操作系统来说并没有什么影响，但却会对一些透过交互签章信任其凭证的早期操作系统引发相容性问题。

某些OS软件从2016年以后就未再更新，就不会信任ISG Root X1根凭证。其中最重要的是7.1.1版本以前的Android版本。这表示这些Android装置明年9月1日起，就无法再信任Let\'s Encrypt发行的凭证。

由于Android升级权主要掌握在装置制造商及电信业者手中，致使有相当大比例的装置跑的是旧版的Android。根据Google 2020年9月的统计，搭载Android 7.1以上版本的装置占66.2%，表示有33.8%的Android装置从明年9月起造访使用Let\'s Encrypt凭证的网站时，会出现凭证错误情形。根据使用Let\'s Encrypt凭证的大型整合商的统计，这些网站大约占了他们1-5%的流量。

为了解决可能到来的凭证错误问题，Let\'s Encrypt计划从2021年1月11日起，Let\'s Encrypt将变更API，使ACME用户端软件除了预设送出导向ISRG Root X1的凭证串链（certificate chain），同样凭证也能送出导向DST Root X3的凭证串链。这是透过为ACME用户端软件加入“另类”连结关联（link relation）实作而成，达到相容目的。目前已有Certbot 1.6.0以上版本支援这项功能。

对终端用户，Let\'s Encrypt建议旧版Android用户升级OS，再不然就安装Firefox Mobile。这是因为Mozilla是Let\'s Encrypt 的根凭证伙伴之一。

对于网站持有人，Let\'s Encrypt提醒他们检查所用的其他ACME用户端是否支援另类连结关联，也鼓励网站持有人部署暂时性的解法，即转到其他凭证串链。长期解决方案包括要求网站持有人将（旧版Android装置的）网站连线降到HTTP、转到其他CA、停止支援旧版Android，或是要求Android用户升级装置的OS（或安装Firefox）。若网站是代管在其他基础架构上，则最好问问代管厂商是否有用DST Root X3凭证而会在明年9月过期的问题。