Let's Encryptのルート認証局移行についてちょっと調べてみた - Qiita

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 私も大変有り難く利用させてもらっている、みんな大好きLet's Encryptはいろんな方の寄付のおかげで無料で利用できるSSLサーバー証明書の発行サービスですが、何やらルート認証局の移行が話題になっているので、ちょっと調べてみました。 問題の概要は、こちらのブログでとても詳しく解説されており、とても参考になりました。ありがとうございます。 公式から出ている説明だと、出てくる証明書の関係がわかりにくく、図もちょっと間違っていたので、別の図を起こしました。簡単には、DST Root X3ルート証明書が期限切れを迎えそうなので、新しいISR

[jovi0608]

問題はまさにこれ。MLで指摘されてもスルーされてた。“自身の鍵の有効期限2021年9月を超えて、新ISRG Root X3ルートCAに対して2024年9月を有効期限とするクロス証明書を発行していること”

[tmatsuu]

わいわい

[Songmu]

なるほど、RFC 5280を見ればよかったのか。ルート証明書の有効期限検証の是非についても書いてある。参考になった。

[tmtms]

証明書まわりは全然理解できてないや…

[T-miura]

むっず、、、

[localnavi]

ええと、つまり、「延命措置はしたから、たぶん2024年9月までは大丈夫やろ」という理解でいいのか？

[Fushihara]

証明書の基本的なしくみは枯れてると思ったけど、後出しで期限が切れる証明書を実質的に延長する現実的な方法が存在するんだなあ

[kazuhooku]

「2021年9月以降は今回のクロス証明書の状態の維持管理ができないので違反しているように思います」MUSTがあるのは同節最終段落で、ルート失効のタイミングで仕様を満たす検証機は失敗するようになるから問題ない気が