Smartphone France Android Edition : Nombreux sites sécurisés non accessibles sur Android 7.0 en 2021

Bienvenue sur Smartphone France Android Edition
Actuellement, 58 visiteurs en ligne

Si vous utilisez "un vieux smartphone Android" fonctionnant avec la version 7.0 et inférieure du système d'exploitation le plus utilisé au monde, il est plus que probable que durant l'année 2021, bon nombre de sites WEB ne soient plus consultables à partir de votre smartphone. La cause de ce scénario catastrophe est lié au plus grand fournisseur de certificats Let's Encrypt qui va au courant de l'année prochaine changer "de fournisseur de certificat racine". Une situation qui interroge car au jour d'aujourd'hui, les smartphones fonctionnant avec les versions d'Android concernées sont d'environ 30% du nombre de smartphones Android en circulation !

Sans trop rentrer dans les détails, le certificat permettant à un service WEB d'être sécurisé est généré en un minimum de 2 étapes, et dans la très grande majorité des cas en 3 étapes : Un certificat racine, un certificat intermédiaire puis le certificat du service lui-même qui grâce à un couple clé public / clé privée, permet de chiffrer les échanges circulant sur Internet. Pour que le système fonctionne bien, les certificats racines sont intégrés dans les systèmes d'exploitation pour sécuriser toute la chaîne. Quand une liaison chiffrée est initiée, le logiciel vérifie que le certificat utilisé est bien généré à la base par une autorité racine qu'il connait.

Le problème qui va normalement arriver est qu'à partir du 30 Septembre 2021, Let's Encrypt va être obligé de changer de certificat racine dans la génération de ses propres certificats, et le certificat racine utilisé ne sera pas intégré de base dans les smartphones Android antérieurs à la version 7.1 du système Android Nougat. En résumé à partir de cette date, tous les services utilisant les certificats Let's Encrypt ne fonctionneront plus sur les appareils concernés ! Bien sûr le problème n'est pas définitif, avec par exemple le navigateur Firefox qui n'utilise pas les certificats du système, ou il reste possible d'installer manuellement "le nouveau certificat racine" quand on s'y connait, mais ce n'est pas le cas de la majorité.

Reste juste à Let's Encrypt et Google de travailler ensemble pour trouver une solution avant cette date butoir s'ils ne veulent pas voir des millions de services ne plus fonctionner sur des millions de terminaux. A noter que le même problème risque d'arriver sur d'autres système d'exploitation anciens, même si sur d'autre systèmes genre Windows XP, l'installation de nouveaux certificats racine reste simple.