{"id":12055,"date":"2021-11-02T13:22:22","date_gmt":"2021-11-02T18:22:22","guid":{"rendered":"https:\/\/emak.tech\/support\/corriger-lets-encrypt-root-ca-x3-telephones-yealink\/"},"modified":"2021-11-02T13:22:22","modified_gmt":"2021-11-02T18:22:22","slug":"corriger-lets-encrypt-root-ca-x3-telephones-yealink","status":"publish","type":"support","link":"https:\/\/emak.tech\/fr\/support\/corriger-lets-encrypt-root-ca-x3-telephones-yealink\/","title":{"rendered":"Corriger l\u2019expiration de DST Root CA X3 (Let\u2019s Encrypt) sur les t\u00e9l\u00e9phones Yealink"},"content":{"rendered":"\n

Le certificat DST Root CA X3 de Let\u2019s Encrypt a expir\u00e9 le 30 septembre 2021<\/a>. Pour la plupart des utilisateurs, cette expiration est pass\u00e9e inaper\u00e7ue. Pour les appareils embarqu\u00e9s comme les t\u00e9l\u00e9phones Yealink, toutefois, elle peut emp\u00eacher la validation TLS aupr\u00e8s des serveurs qui utilisent des certificats Let\u2019s Encrypt : le provisionnement \u00e9choue, le t\u00e9l\u00e9phone refuse de se connecter \u00e0 son serveur de configuration ou les bo\u00eetes de dialogue HTTPS ne sont pas valid\u00e9es. Cet article explique pourquoi, et comment corriger le probl\u00e8me c\u00f4t\u00e9 serveur en ajoutant une seule option \u00e0 votre client ACME.<\/p>\n\n\n\n

Une cha\u00eene de probl\u00e8mes<\/h2>\n\n\n
\n
\"Logo<\/picture><\/figure>\n<\/div>\n\n\n

De nombreux syst\u00e8mes embarqu\u00e9s (dont les t\u00e9l\u00e9phones Yealink) sont livr\u00e9s avec un magasin de certificats racines int\u00e9gr\u00e9 qui est rarement mis \u00e0 jour. Ils contiennent toujours le certificat racine expir\u00e9 DST Root CA X3 et s\u2019y rabattent pour la validation. Lorsqu\u2019un serveur pr\u00e9sente un certificat Let\u2019s Encrypt valide dont la cha\u00eene remonte ultimement \u00e0 DST Root CA X3, le t\u00e9l\u00e9phone consid\u00e8re la cha\u00eene comme expir\u00e9e et la validation \u00e9choue \u2014 m\u00eame si le certificat final lui-m\u00eame est valide.<\/p>\n\n\n\n

Ce qui rend la situation d\u00e9routante, c\u2019est que la plupart des appareils touch\u00e9s poss\u00e8dent d\u00e9j\u00e0 le certificat plus r\u00e9cent ISRG Root X1<\/strong> (\u00e9mis en 2015, valide jusqu\u2019en 2035). On s\u2019attendait \u00e0 ce qu\u2019ils utilisent simplement ISRG Root X1 pour valider les certificats Let\u2019s Encrypt et ignorent l\u2019ancienne racine. Malheureusement, la cha\u00eene par d\u00e9faut de Let\u2019s Encrypt passe encore par DST Root CA X3 \u2014 et c\u2019est justement la racine que nos t\u00e9l\u00e9phones rejettent.<\/p>\n\n\n\n

\n

Le probl\u00e8me n\u2019est pas le certificat racine DST expir\u00e9, m\u00eame si je sais que beaucoup de gens le croient. Le probl\u00e8me, c\u2019est que le certificat interm\u00e9diaire R3 fourni par Let\u2019s Encrypt, m\u00eame avec les nouveaux certificats, a \u00e9t\u00e9 d\u00e9lib\u00e9r\u00e9ment sign\u00e9 de fa\u00e7on crois\u00e9e avec le certificat DST expir\u00e9, afin que les vieux clients Android qui ne v\u00e9rifient pas l\u2019expiration de leurs certificats DST et qui n\u2019ont pas la racine ISRG dans leur magasin de certificats continuent de fonctionner.\n<\/p>\n\n\n\n\u2014 Ted Mittelstaedt, sur la communaut\u00e9 FreePBX<\/a><\/cite>\n<\/blockquote>\n\n\n\n

Un message publi\u00e9 le 31 mars 2021 sur le forum par un ing\u00e9nieur de Let\u2019s Encrypt a confirm\u00e9 le changement \u00e0 l\u2019origine du probl\u00e8me<\/a> :<\/p>\n\n\n\n

\n

Le 4 mai, nous mettrons \u00e0 jour notre API pour que les clients ACME t\u00e9l\u00e9chargent et utilisent une cha\u00eene de certificats plus longue. Cette cha\u00eene plus longue permettra \u00e0 nos certificats de rester compatibles avec presque tous les appareils Android, m\u00eame apr\u00e8s l\u2019expiration de DST Root CA X3 le 30 septembre. La plupart des abonn\u00e9s n\u2019ont aucun changement \u00e0 faire.\n\nCette cha\u00eene comprendra trois certificats, au lieu des deux actuels :\n<\/p>\n\n\n\n