Depuis l'année dernière, on sait que le projet gagne en indépendance et revoit sa chaîne de certification, étant désormais reconnu par de nombreux systèmes et navigateurs. Mais cela ne s'est pas fait sans heurts.
En effet, le certificat intermédiaire IRSG Root X1 – utilisé pour la création des certificats Let's Encrypt – tenait auparavant sa légitimité d'une signature croisée par le certificat racine DST Root CA X3 d'IdenTrust. Or, celui-ci arrive à expiration.
Ainsi, tous les vieux systèmes ne pourront plus le considérer comme légitime et ne reconnaîtront pas le certificat racine de Let's Encrypt s'ils n'ont pas été mis à jour. On pouvait craindre une « apocalypse », notamment avec Android et sa segmentation.
Heureusement, une solution avait été trouvée, IdenTrust ayant accepté de prolonger sa signature croisée jusqu'en 2024, acceptée par Android malgré l'expiration. Mais la date fatidique est désormais là : le 30 septembre.
Certains ont ainsi alerté sur les problèmes qui pourraient être rencontrés avec d'autres vieux appareils qui ne devraient plus pouvoir reconnaître les certificats Let's Encrypt parce qu'ils n'ont pas été mis à jour depuis des années. Des articles ont alors été publiés évoquant des appareils endommagés ou coupés d'Internet. Rien que ça.
Il n'en est rien. D'abord parce que les cas devraient être très limités et ne toucher que des appareils qui doivent rencontrer bien d'autres problèmes du fait de leur vétusté logicielle. Ensuite parce qu'une simple erreur sera affichée et pourra être outrepassée. Sans parler des solutions alternatives, par exemple utiliser Firefox, qui dispose de ses propres certificats racines à jour.
Cela nous rappelle néanmoins que le manque de suivi sur le long terme des mises à jour des systèmes peut avoir de vrais impacts et que l'obsolescence logicielle est une réalité qui doit être combattue.