Las empresas se enfrentan a problemas cuando caduca el certificado raíz de Let’s Encrypt

Muchos sitios web comenzaron a experimentar problemas esta semana después de que expirara un certificado raíz de Let’s Encrypt, una autoridad de certificación (CA) gratuita y abierta utilizada por millones de sitios web.

Let’s Encrypt, que forma parte de la organización sin fines de lucro Internet Security Research Group (ISRG), es un gran proveedor de certificados HTTPS: en febrero pasado, emitió su certificado número mil millones y anunció que brindaría servicios a casi 192 millones de sitios web.

El IdenTrust DST Root CA X3 expiró el 30 de septiembre; Después de eso, las computadoras, los dispositivos y los clientes, como los navegadores web, ya no confían en los certificados emitidos por esta autoridad de certificación.

«Si el certificado raíz en el que está anclada su cadena de certificados ha expirado, es muy probable que las cosas salgan mal», escribió Scott Helme, fundador de Security Header, en una publicación de blog del 20 de septiembre advirtiendo del problema. Eso sucedió en mayo pasado, agregó, cuando expiró la raíz de CA externa de AddTrust, lo que causó problemas a Roku, Stripe y otras organizaciones.

«Dada la diferencia de tamaño relativo entre Let’s Encrypt y AddTrust, siento que la expiración de las raíces de IdenTrust tiene el potencial de causar más problemas», dice Helme.

En la mayoría de los casos, la expiración de una CA raíz no generaría mucha discusión, ya que la transición de un certificado raíz antiguo a uno nuevo es «completamente transparente», escribe Helme. La razón por la que este flujo causa problemas es porque los clientes no se actualizan con regularidad y, cuando lo hace, la nueva CA que reemplaza a la anterior no se descarga en el dispositivo.

En su publicación de blog, enumera los clientes que se rompen después de que caduca IdenTrust DST Root CA X3. Esto incluye versiones de macOS anteriores a 10.12.1, versiones de Windows anteriores a XP Service Pack 3, versiones de iOS anteriores a iOS 10, versiones de OpenSSL anteriores e incluidas las versiones 1.0.2 y Firefox anteriores a 50.

Helme le dijo a ZDNet que había confirmado que organizaciones como Palo Alto, Bluecoat, Cisco Umbrella, Google Cloud Monitoring, Auth0, Shopify, QuickBooks y Fortinet se encontraban entre las organizaciones que tenían problemas después del vencimiento. En uno PíoLet’s Encrypt aconseja a aquellos que se encuentran con errores que consulten las correcciones en el foro de su comunidad. También se aconseja que la tasa de renovación es más alta de lo habitual, por lo que puede haber una demora en la recepción de sus certificados.