Si vous utilisez le cryptage dans la téléphonie Voix sur IP, il est probable que vous ayez rencontré des problèmes récemment, avec l’expiration d’un certificat racine de « Let’s Encrypt ». Mais qu’est-ce que « Let’s Encrypt » ? Comment et où est-il utilisé ? Comment cela affecte-t-il vos appareils ? Quelle est la solution à ce problème ?
Qu’est-ce que « Let’s Encrypt » ?
Afin d’utiliser correctement le protocole HTTPS sur un site Web, un certain type de fichier est nécessaire, à savoir un certificat. Ces certificats sont émis par une autorité de certification (également connue sous le nom de CA). Let’s Encrypt est une autorité de certification gratuite et à but non lucratif. Si vous devez obtenir un certificat pour le domaine de votre site Web auprès de Let’s Encrypt, vous devrez prouver que vous contrôlez ce domaine. Pour ce faire, vous pouvez utiliser un logiciel fonctionnant avec le protocole ACME (Automatic Certificate Management Environment), qui est généralement exécuté par votre hébergeur. Avec des outils tels que l’accès shell (ou accès SSH) à votre hébergeur, vous serez en mesure d’identifier la méthode qui convient le mieux à votre utilisation particulière. Si un site Web est géré via l’un des panneaux de contrôle connus tels que cPanel, Plesk ou WordPress, il est fort probable qu’un accès shell devra être demandé à l’hébergeur. L’objectif de Let’s Encrypt et du protocole ACME est de permettre la configuration d’un serveur HTTP et de faire en sorte qu’il reçoive automatiquement un certificat auquel les navigateurs Web font confiance, sans aucune interaction humaine et en exécutant un agent de gestion des certificats directement dans le serveur Web.
Mais Let’s Encrypt n’émet pas seulement des certificats SSL/TLS pour les sites web exclusivement, ils peuvent également émettre des certificats pour tout serveur qui utilise réellement un nom de domaine, comme les serveurs web, les serveurs de messagerie, les serveurs FTP, les serveurs VoIP, etc.
Le 30 septembre dernier, un léger changement a eu lieu dans la manière dont les anciens navigateurs et appareils faisaient confiance aux certificats Let’s Encrypt. Sur un site Web ordinaire, le changement n’est pas perceptible, car la plupart des visiteurs de ce site accepteront toujours le certificat Let’s Encrypt, mais si vous fournissez une API ou un support aux dispositifs IoT, une certaine interaction peut être nécessaire. Le certificat qui a récemment expiré est appelé DST Root X3, qui est une « signature croisée » utilisée pour s’assurer que les certificats émis par Let’s Encrypt sont fiables sur les anciens appareils. Aujourd’hui, les appareils plus récents font confiance au nouveau certificat racine appelé ISRG Root X1 ainsi qu’à son prédécesseur DST Root X3, ce qui n’est pas le cas des appareils plus anciens (ordinateurs utilisant Windows XP avec Service Pack 3, MacOS 2016 et antérieurs, iPhone 4, HTC Dream, anciennes PlayStation, pour n’en citer que quelques-uns), qui ne feront pas confiance au nouveau certificat racine ISRG Root X1. Certains appareils peuvent être modifiés afin de faire confiance aux nouveaux certificats racines, mais d’autres ne le pourront pas, car ils sont dépréciés ou ne reçoivent plus de support ou de mises à jour de leur firmware. Dans le cas particulier des appareils Android, Let’s Encrypt a prévu une solution de contournement, permettant à de nombreux appareils Android de faire confiance au nouveau certificat ISRG Root X1, qui expire jusqu’en 2035. Les utilisateurs d’Android avec la version 7.1.1 de Nougat et les versions antérieures pourront faire confiance au certificat racine de Let’s Encrypt grâce à une signature croisée qui prolongera sa validité de trois années supplémentaires. Cependant, les utilisateurs d’Android avec la version Lollipop 5.0 et antérieure, peuvent avoir besoin d’installer Firefox pour la navigation web, en raison du fait que ce navigateur a une liste intégrée de certificats racine de confiance. C’est là que la téléphonie SIP ou VoIP entre en jeu, l’expiration de l’ancien certificat racine DST Root X3 a certainement représenté de légers problèmes pour les utilisateurs de services de voix sur IP en raison du fait que leurs appareils ne sont malheureusement plus pris en charge par les fabricants, ou, pour une raison quelconque, le firmware de leurs appareils n’a pas pu être mis à jour depuis un certain temps, ce qui fera que les appareils maintiendront l’ancienne signature pour le certificat DST Root X3 maintenant déprécié, empêchant les appareils de s’inscrire à tout serveur SIP tout en essayant de se connecter à leur nom de domaine et en utilisant TLS comme protocole de transport.
Nous avons reçu des rapports de dispositifs qui peuvent parfaitement effectuer un enregistrement correct sur nos serveurs, mais en utilisant exclusivement le transport UDP / TCP. Nous travaillons actuellement en étroite collaboration avec nos partenaires pour obtenir des informations actualisées directement de leur part afin d’être certains des dispositifs qui pourront être soumises à un processus de mise à jour et de ceux qui ne le pourront pas. Nous mettrons prochainement à jour nos ressources Wiki afin d’inclure des informations détaillées sur les appareils qui nécessiteront des modifications supplémentaires afin de continuer à prendre en charge le cryptage, et de partager avec vous les appareils qui ne seront pas en mesure de faire confiance au nouveau certificat racine qui est actuellement largement utilisé.
Si vous rencontrez des problèmes en ce moment, n’hésitez pas à nous contacter à l’adresse électronique suivante : [email protected].
