Let's EncryptのDST Root X3ルート証明書の期限切れとOpenSSLの影響についていろいろ試してみた

Let's Encryptでこれまで長く使用されてきたIdentrust社発行のDST Root X3ルート証明書が、日本時間2021年9月30日23時1分15秒に期限切れになりました。十分時間を取って事前に移行計画や影響範囲、救える環境、救えない環境などアナウンスをしてきましたが、やはり、期限切れ以降、様々なサービスや製品で接続できないといった声が上がってきました。 特にOpenSSLに関しては、OpenSSL 1.0.2以前に影響があると9月13日に事前の注意喚起がOpenSSL公式ブログであったにもかかわらず、製品やサービスの奥底で使われていて気づかなかったのか、様々なOSや製品で古いものが組み込みで使われていたために影響が広かったように思います。 OpenSSLからの注意喚起の概要 2021年9月30日にLet's EncryptのDST Root X3ルート証明書の期限が切れるに

[mezamashi0540]

補足すると"ファイル形式であれば"のファイルとは、debianだと /etc/ssl/certs/ca-certificates.crtで、ここにあるDST Root X3ルート証明書を削除する。curlとかwgetはここを参照している、はず。

[ledsun]

なるほどー。ややこしいなあ

[knok]

Debianは他にJava用のca-certificates-javaパッケージで別に証明書の管理してるけどそっちは大丈夫なのかな https://packages.debian.org/search?keywords=ca-certificates-java

[azumakuniyuki]

本題とは外れるけど% openssl version -aは知らんかった、まさかversionにオプションがつくとか思ってもいなかった。

[wushi]

後追い検証が充実してきているのが面白い

[n314]

ちょうど今、同じバージョンで結果が異なるというレアなパターンでハマってる。たぶんdebootstrapが原因。