More than 3 years have passed since last update.

Let’s EncryptでSSL証明書を発行しているサイトが古いAndroidで映らなくなる！？⇒ちょっとだけ延命した！

Last updated at 2020-09-18Posted at 2020-09-18

Android OSのバージョンがAndroid7.1.1未満の機種は、2021年9月30日以降Let’s EncryptでSSL証明書を発行しているサイトが映らなくなります。

これは、Let’s EncryptがSSL証明書に利用しているルート証明書の「DST Root X3」という証明書が2021年9月30日で有効期限が切れるからなのですが、実はそれよりも先に対応をしていないともっと早い段階で映らなくなります。

ちなみに、2020/09/19現在、ネットで拾ってきた情報によると、日本国内のスマホのシェアの内、Android7.1.1未満の機種の割合は5%ほどだそうです。（20人に1人映らなくなる・・・！）

Let’s Encryptとルート証明書の仕組み

Let’s EncryptはSSL証明書にLet's Encryptを運営している非営利団体のISRGが発行しいている「ISRG's root」というルート証明書を利用しているのですが、この証明書が比較的新しいルート証明書(2014年発行)のため、古いOSにはインストールされていません。

なので、今までは「DST Root X3」というルート証明書を中間証明書として、「DST Root X3」経由で認証を行っていました。

WEBサイト ⇒ DST Root X3 ⇒ ISRG's root ⇒ 認証OK！

ところが、「DST Root X3」の有効期限が2021年9月30日までとなるため、Let's Encryptの認証は「DST Root X3」の中間証明書を経由しなくなります。

WEBサイト ⇒ ISRG's root ⇒ 認証OK！

つまり、Android7.1.1未満も対応したルート証明書である、「DST Root X3」を中間証明書として経由していたから映っていたAndroid7.1.1未満の機種で、サイトが映らなくなってしまいます。

では、「DST Root X3」の有効期限が2021年9月30日までに対応すればいいかと言われるとそうでもなくて、Let's Encryptがこの「WEBサイト ⇒ ISRG's root ⇒ 認証OK！」の仕組みに切り替える時期はもっと早いです。（そりゃギリギリなわけないですよね）

なので、Let’s Encryptは、救済策として「古いOSも対応したい人は中間証明書を今まで通り使ってね」と中間証明書を指定して証明書を発行できるようなオプション機能を2020/07/25に実装した上で、2020/9/29に切り替えるとアナウンスしていました。

ました。過去形です。

どうやらその救済策の浸透があまり広まっていないらしく、2020/9/18に公式サイトで、切り替えは2021/01/11に延期すると発表がありました。

なので、実際には2021/01/11までに(正確には2021/01/11以降に証明書を更新するまでに)対策をすれば、古いOSでも引継ぎSSL認証が可能です。