Let’s Encrypt证书链即将更改及其对Cloudflare客户的影响
内容提要
Let's Encrypt将于2024年停止使用与IdenTrust交叉签名的证书链，而改用自己的根CA。这将影响一些旧设备和系统，如Android 7.1.1或更早版本的设备。建议更新信任存储以包含ISRG Root X1，移除或更新证书固定。此举将推动设备、浏览器和客户端支持适应性信任存储，为新的证书颁发机构铺平道路。
延伸解读
变更时间线与影响范围
Let's Encrypt与IdenTrust交叉签名的证书链将于2024年9月30日到期。Cloudflare计划在2024年5月15日停止签发交叉签名链证书，全面改用ISRG Root X1链。此举主要影响Android 7.1.1及更早版本等旧设备，这些设备未在信任存储中包含ISRG Root X1，访问使用Let's Encrypt证书的域名时可能遇到TLS错误或警告。
实际影响数据与用户分布
根据Let's Encrypt数据，超过93.9%的Android设备已信任ISRG Root X1。Cloudflare分析发现，在所有Android请求中，仅2.96%来自将受影响的设备。此外，来自Firefox的请求中只有1.13%来自受影响版本，这意味着大多数Android上的Firefox用户不会受到影响。这些数据表明，尽管变更会影响部分旧设备，但整体影响范围有限。
应对措施与建议
若担心影响客户端，可采取以下措施：更新信任存储以包含ISRG Root X1；移除或更新证书固定（pinning），因为固定证书通常在续订或CA变更时引发问题。使用Advanced Certificate Manager或SSL for SaaS的企业客户，可选择将证书切换至Google Trust Services颁发。这些步骤有助于减少变更带来的中断。
长期意义与行业影响
Let's Encrypt淘汰交叉签名链，旨在推动设备、浏览器和客户端支持可适应性信任存储，使客户端能灵活支持新标准而不引发破坏性变更。这也为新证书颁发机构的出现铺平道路，因为新CA通常需要多年才能获得广泛信任。Cloudflare支持这一转变，认为它有助于构建更安全、敏捷的互联网。
Q&A
Let's Encrypt的证书链变更会对哪些设备产生影响？
主要影响Android 7.1.1及更早版本的设备，这些设备依赖于交叉签名链，缺乏ISRG Root X1的信任。
如何减少Let's Encrypt证书链变更对客户的影响？
建议更新信任存储以包含ISRG Root X1，并移除或更新证书固定。
Let's Encrypt为何要停止使用与IdenTrust的交叉签名？
为了推动设备、浏览器和客户端支持适应性信任存储，并为新证书颁发机构铺平道路。
Cloudflare如何支持Let's Encrypt的变更？
Cloudflare支持这一变更，认为它将推动更安全和灵活的互联网。
ISRG Root X1的信任度在Android设备中如何？
超过93.9%的Android设备已信任ISRG Root X1，预计这一比例将在2024年进一步增加。
如果使用Advanced Certificate Manager，如何应对证书链变更？
可以选择将证书切换到使用Google Trust Services作为证书颁发机构。
