Milhares de dispositivos podem perder ligação à Internet a 30 de Setembro

A Internet mudou bastante nos últimos anos, sendo que uma grande parte da Internet atual encontra-se protegida por ligações seguras e encriptadas – algo que é mantido com recurso a certificados SSL.

Estes certificados são emitidos por entidades credenciadas, conhecidas como “Autoridades de Certificação (CA)”. Estas autoridades são responsáveis por criarem e manterem os seus próprios certificados SSL no mercado, e um dos exemplos de tal é a Lets Encrypt. Esta entidade foi criada para permitir a emissão de certificados SSL gratuitos em massa – e foi também adotada por um vasto conjunto de fabricantes para integrarem estes certificados nos seus dispositivos.

Existem diferentes géneros de certificados, mas um dos que normalmente são instalados em dispositivos de base são conhecidos como “Certificados Raiz”. Estes encontram-se instalados nos próprios sistemas, e normalmente possuem uma validade de 20 a 25 anos.

Isto permite que esses dispositivos possam usar certificados dessa entidade especifica sem problemas. No entanto, é aqui que entram os problemas para a Lets Encrypt. Isto porque muitos dos seus Certificados Raiz foram emitidos faz mais de 20 anos, e encontram-se a expirar brevemente.

Mais concretamente, a 30 de Setembro de 2021, o certificado de raiz IdentTrust DST Root CA X3 vai expirar, deixando sem acesso a ligações seguras centenas de dispositivos que ainda façam uso do mesmo.

Na grande maioria dos dispositivos, não devem ser verificadas diferenças. Isto porque o certificado foi atualizado ao longo dos tempos, e conta agora com uma data superior. Mas alguns dispositivos mais antigos que não tenham recebido atualizações podem ainda ter a versão antiga apenas – que vai agora deixar de funcionar.

Entre os dispositivos que vão deixar de ser suportados encontram-se equipamentos que não foram criados para serem atualizados automaticamente, smartphones com versões de sistemas antigos, versões do macOS anteriores a 2016, Windows XP Service Pack 2 ou anterior, consolas PlayStation que não receberam atualizações de segurança e ainda todos os produtos que foram criados tendo em mente o software de encriptação OpenSSL 1.0.2 ou anterior.

Os dispositivos Android mais antigos ainda vão conseguir manter o suporte ao certificado por mais três anos, devido a uma atualização “invulgar” realizada pela Lets Encrypt. Ainda assim, para dispositivos com o Android 7.1.1 ou inferior, é recomendado que se utilize o navegador Firefox – que conta com o novo certificado integrado no mesmo.

Devido à popularidade deste certificado, existe uma forte possibilidade que no dia 30 de Setembro venhamos a verificar uma falha de alguns sistemas que ainda fazem uso do mesmo. Estas falhas podem ser apenas erros na ligação a determinados websites ou a total inacessibilidade à Internet, conforme o certificado esteja implementado.

Segundo o investigador Scott Helme, devido à popularidade deste certificado, existe uma forte possibilidade que venham a ser verificados problemas em algum ponto.