ssl - DST Root CA X3 Expiration Sep 30 - 有没有办法让旧设备仍然工作？

Question

TLDR：最近有一个 DST Root CA X3 Expiration - 有没有办法更新我的服务器上的某些东西，让旧设备再次信任它？

全部-我对此非常迷茫，不知道该转向哪里。自 2021 年 9 月 30 日以来，由于 DST 根 CA 到期，我在客户的商店中有数百个 linux 标牌播放器拒绝连接到我的服务器。

据我了解，这个问题是由旧设备上的证书引起的，即使 SSL 在我的服务器上有效，它也不信任服务器？我收到错误：SSL 证书问题：证书已过期。

当我运行替换证书的软件更新时，标牌播放器可以工作，但手动运行软件更新将花费数千美元。短期内我可以做些什么，例如使用不同的 SSL 提供商让这些旧设备再次信任我的服务器？

标签： sslcurlopenssl

Answer 1

我不确定这是不是主题。根据我对您的问题和过期 DST 根证书问题的理解，有两个相关问题：1）服务器在其链中使用过期证书和 2）新的 ISRG 根证书在旧设备上不受信任。第一个很容易解决，只需更新您的服务器证书。第二个是硬的。

由于您关心成本，这里有一个建议。首先，找出您的远程设备信任哪些根证书。从此列表中，找到在您认为合适的未来日期之前不会过期的根证书。然后从拥有您满意的到期日期的根之一的 CA购买证书。成本各不相同，但我预计每年的成本最多只有几百美元，可能要少得多，具体取决于 CA。

从长远来看，如果您要更新这些盒子，您可能需要重新考虑您的 PKI 模型。如果只是您的设备连接到您的服务器，则使用您自己的具有较长到期日期的本地 CA 证书来为该应用程序颁发证书可能更明智。