Let's EncryptのDV SAN証明書に関する影響について

お客様各位

平素は弊社CDN(Akamai)をご利用いただきまして誠にありがとうございます。

[概要]

※Let's Encrypt証明書はAkamai提供のDV SAN証明書の場合にご利用いただいております。

現状Let's Encryptの証明書はISRG Root X1に加え、
クロスルート証明書によりDST Root CA X3にもチェーンされておりますが、
2024年6月6日以降に発行・更新される証明書ではクロスルート証明書は含まれないこととなりました。
それに伴いDST Root CA X3にチェーンがされなくなります。


Akamai Control Center(ACC)上での証明書管理メニューであるCPSの”Trust Chain”設定にて
”R3 + ISRG Root X1 (signed by DST Root CA X3)”を選択している場合は
2024年6月5日まではクロスルート証明書が含まれます。
ただし、”Default”を選択している場合、現状クロスルート証明書が含まれますが、2024年2月8日以降は含まれなくなっています。

そのため、2024年2月8日以降も(2024年6月5日まで)クロスルート証明書を含めたい場合は、
”Trust Chain”設定を”R3 + ISRG Root X1 (signed by DST Root CA X3)”に変更する必要がございます。


またCPSではなくSecure by Defaultにより証明書を発行している場合は、
無条件で2024年2月8日以降はクロスルート証明書が含まれなくなっています。
Secure by Defaultによる証明書の確認方法について、Property ManagerのCertificateのstatusにて
”Manage in CPS”の表示がない場合はSecure by Defaultが使用されています。
Property ManagerのCertificateのstatusの確認方法については次のリンクをご参照ください。

https://techdocs.akamai.com/property-mgr/docs/redirect-users-edge-servers


モダンなOSやブラウザではISRG Root X1のルート証明書を持っているため、
今回の変更に影響を受けることはございません。
ただし、非常に古いOS、ブラウザではISRG Root X1のルート証明書を持っていないことがあるため、
そういったクライアントからのアクセスはできなくなります。
ISRG Root X1のルート証明書を持たないクライアントについては次のリンクをご参照ください。

https://letsencrypt.org/docs/certificate-compatibility/#platforms-that-trust-dst-root-ca-x3-but-not-isrg-root-x1

本件の影響を受ける場合、クロスルート証明書が含まれなくなる前に
ISRG Root X1のルート証明書をもつクライアントへ移行する、
もしくはThird Party証明書にて他認証局の証明書をご利用ください。


■DV SANおよびデフォルトDVトラストチェーンの変更 (2024年6月6日)

Let's Encryptは、Let's EncryptのISRG Root X1証明書に対する
IdenTrustのDST Root CA X3クロスサインの使用を中止し、
新しい中間証明書を導入する計画を発表しております。
これらの変更は、以下に影響します。

・Property ManagerでプロビジョニングされたすべてのデフォルトDV証明書

・CPSにプロビジョニングされたすべてのDV SAN証明書

Akamaiでは、DSTルートCA X3のクロスサインが期限切れになっても、
ほとんどのお客様に影響はなく、ほとんどのお客様は対応の必要が必要がないと考えています。
例外としまして、2024年6月6日以降、DV SAN証明書は
Android OS 7.1.1より前のバージョンを実行しているAndroidデバイスをサポートしなくなることです。
詳細については、コミュニティの投稿「DV SAN and Default DV Trust Chain changes in Q1 2024」をご参照ください。

https://community.akamai.com/customers/s/article/DV-SAN-Default-DV-trust-chain-changes-Q1-2024?language=en_US


<お問合せ先>

障害に関するお問い合わせ: cdn-trouble@ntt.com
CDN全般についてのお問い合わせ: cdn-query@ntt.com