Il 30 settembre scade DST Root CA X3, il certificato radice che in questi anni ha permesso ai certificati di Let’s Encrypt di essere accettati anche dai dispositivi che non conoscevano ancora la radice propria del progetto, ISRG Root X1. Per la grande maggioranza dei siti e dei visitatori non cambierà nulla. Per alcuni client datati e per una parte delle integrazioni tra server, le connessioni HTTPS potrebbero smettere di funzionare dall’oggi al domani.
I primi candidati sono i sistemi operativi vecchi che non hanno ISRG Root X1 tra le radici attendibili, come versioni superate di macOS e iOS o Windows mai aggiornati. Poi ci sono le librerie: OpenSSL 1.0.2 e precedenti possono rifiutare la connessione anche quando esiste un percorso di fiducia valido, perché si fermano sulla radice scaduta invece di cercarne un altro. Per gli Android più vecchi Let’s Encrypt ha trovato una via d’uscita, una firma incrociata che permette ai dispositivi fino alla 7.1.1 di continuare ad accettare i certificati per altri anni.
La parte più insidiosa, però, non riguarda i visitatori. Anche i tuoi server sono client, ogni volta che scaricano aggiornamenti, chiamano un’API o inviano dati a un altro servizio. Uno script PHP su una macchina mai aggiornata, un’applicazione Java con il suo keystore, una stampante o un apparato che parla con il cloud: sono queste le cose che il 1° ottobre potrebbero smettere di funzionare senza un messaggio chiaro, e spesso nessuno ricorda nemmeno che esistono.
Il lavoro preparatorio è semplice ma va fatto per tempo. Aggiorna il pacchetto ca-certificates su tutti i server e controlla la versione di OpenSSL: se è precedente alla 1.1.0, metti in conto l’aggiornamento del sistema. Fai l’inventario di script, cron e applicazioni che si collegano a servizi esterni, e provali su una macchina da cui hai rimosso la radice in scadenza: è il modo più rapido per vedere oggi quello che altrimenti scopriresti a ottobre. Le applicazioni Java vanno controllate a parte, perché usano un elenco di radici proprio. Per dispositivi embedded e apparati datati chiedi direttamente al fornitore.
Poi segna il 30 settembre in calendario, e nei giorni successivi tieni d’occhio log e monitoraggio più del solito.
