O certificado raiz é a base da cadeia de confiança SSL/TLS e serve para verificar a autenticidade do certificado do servidor. Devido a alterações nas políticas globais de confiança de certificados raiz, o Object Storage Service (OSS) está atualizando seus certificados raiz para garantir a segurança contínua e a disponibilidade do acesso HTTPS.
Contexto
No início de 2023, a Mozilla implementou uma nova política de confiança de certificados raiz. Essa política revoga a confiança em certificados raiz de autenticação de servidor com mais de 15 anos. Como resultado, o certificado raiz GlobalSign Root R1 expirará em 15 de abril de 2025. Para obter mais informações, consulte Política de ciclos de vida da CA raiz da Mozilla.
Plano de resposta do OSS
O Alibaba Cloud OSS adotou as seguintes medidas para assegurar uma transição tranquila. Para mais detalhes, consulte o Comunicado sobre a atualização dos certificados SSL do OSS.
|
Ação |
Descrição |
|
Atualização de certificado |
A partir de 1º de julho de 2024, os novos certificados emitidos pelo OSS usarão o GlobalSign Root R3 para garantir conformidade com os padrões de segurança mais recentes. |
|
Compatibilidade de certificado cruzado |
Os certificados existentes farão a transição suave de R1 para R3 por meio de um mecanismo de certificado cruzado. Esse certificado cruzado é válido até 28 de janeiro de 2028. Recomendamos concluir os preparativos para a atualização antes de 28 de dezembro de 2026. |
|
Planejamento futuro |
A Mozilla deixará de confiar no GlobalSign Root R3 a partir de 15 de abril de 2027, e ele expirará em 18 de março de 2029. Sugerimos que a lista de certificados raiz do seu cliente inclua múltiplos certificados, como R1, R3, R6 e R46, para preparar o sistema para futuras rotações de certificados. |
O que você precisa fazer
A maioria dos usuários não precisa realizar nenhuma ação. Sistemas operacionais modernos (Windows 7+, macOS 10.12.1+ e as principais distribuições Linux dos últimos cinco anos) e navegadores atualizam automaticamente seu repositório interno de certificados raiz confiáveis.
Siga as etapas abaixo apenas se utilizar um sistema operacional antigo, um dispositivo embarcado ou um cliente personalizado com um repositório de certificados raiz desatualizado e encontrar erros de certificado ao acessar o OSS via HTTPS.
Etapa 1: Verifique o certificado GlobalSign R3
Windows
Pressione Win + R, insira
certmgr.msce pressione Enter para abrir o Gerenciador de Certificados.No painel de navegação à esquerda, expanda .
Na lista, localize o certificado com valor Issued To igual a GlobalSign e Friendly Name igual a GlobalSign Root CA - R3.
Linux
No Ubuntu, por exemplo, abra um terminal e execute o comando a seguir para verificar se existem certificados GlobalSign no diretório de certificados do sistema:
ls /etc/ssl/certs/ | grep GlobalSignmacOS
Abra o Finder, pesquise e abra o Keychain Access.
Clique em System Roots, insira "GlobalSign" na caixa de pesquisa e clique duas vezes no certificado para visualize seus detalhes.
Etapa 2: Instale o certificado raiz ausente
Caso o certificado raiz esteja ausente no seu sistema, consulte Install a root certificate on an operating system.