Índice
Certificados da Let’s Encrypt, usados em 30% dos sites seguros na web, deixarão de ser reconhecidos por aparelhos com versões do sistema anteriores à 7.1.1 ‘Nougat’
Smartphones Android rodando versões antigas do sistema operacional, anteriores à 7.1.1, conhecida como “Nougat”, poderão ter problemas ao acessar sites seguros a partir de setembro de 2021. Isso por causa do fim de um acordo entre a Let’s Encrypt e a IdenTrust, duas autoridades de certificação.
Uma conexão segura (via https://, por exemplo) a um site ou serviço depende de um certificado de segurança, que grosso modo é como uma “carteira de identidade” e garante que o site sendo acessado é quem diz ser. Estes certificados são emitidos por empresas chamadas autoridades de certificação (CA – Certificate Authority). Cada certificado emitido por uma CA é assinado com o “certificado raiz” da empresa.
Pense em um contrato de locação de um imóvel. Ele precisa ser assinado pelo locatário e a assinatura precisa ser validada em um cartório. A assinatura do locatário seria o certificado do site, e a “chancela” do cartório o certificado raiz.
Medida temporária
Quando foi fundada, em 2015, a Let’s Encrypt emitiu seu certificado raiz, o ISRG Root X1. Mas até que ele fosse reconhecido e adotado pelos principais sistemas operacionais do mercado, estabeleceu uma parceria com a IdenTrust para que esta atuasse como sua “fiadora”, assinando seu novo certificado com outro, o DST Root X3.
Quando um aparelho rodando um sistema que ainda não reconhece o ISRG Root X1 nativamente encontra um site ou serviço com este certificado, ainda pode validar a conexão usando o DST Root X3. Mas este irá expirar em 1º de setembro de 2021.
Isso significa que em aparelhos rodando sistemas operacionais que não reconhecem nativamente o ISRG Root X1, como versões do Android anteriores à 7.1.1, as conexões seguras a sites usando os certificados da Let’s Encrypt irão falhar. E segundo o site Android Police eles são usados em 30% de todos os sites seguros na Web.
Infelizmente, a lista de certificados reconhecidos pelo Android é parte do sistema operacional e só pode ser modificada com um atualização de sistema, algo que não é uma opção para muitos dos aparelhos antigos. De acordo com a Let’s Encrypt, 33,8% dos aparelhos Android em uso rodam versões Android anteriores à 7.1.1.
Uma solução temporária para os proprietários destes aparelhos é usar o navegador Firefox, que roda em qualquer versão do Android superior à 5.0 e tem sua própria base de certificados. Isso, entretanto, não resolve a situação de apps que usam o navegador embutido no sistema para exibir conteúdo. Nestes casos, eles deixarão de funcionar. A solução definitiva é trocar o smartphone por um modelo com uma versão mais nova do Android.
