Un soir d’ennui, j’ai retrouvé au fond d’un tiroir ma vieille tablette Android achetée 220 euros il y a une décennie. Allumage, Wi-Fi connecté, ouverture du navigateur… et là, quasiment tous les sites que j’ai tapés m’ont recraché un message d’erreur rouge vif. Pas de panne réseau, pas de bug isolé : c’est un problème de certificats de sécurité, et il touche des millions d’appareils Android qui dorment dans nos placards.
À retenir
- Un certificat de sécurité crucial a expiré en 2021, rendant inaccessible l’immense majorité du web moderne
- Seul Firefox parvient à contourner le problème grâce à ses certificats intégrés indépendants
- Des millions d’appareils Android non mis à jour sont affectés, révélant une forme sournoise d’obsolescence
Le coupable : un certificat qui a expiré en 2021
La cause remonte à un événement technique passé presque inaperçu il y a plusieurs années. Pour sécuriser les connexions HTTPS (le petit cadenas dans la barre d’adresse), les sites web s’appuient sur des autorités de certification. Or l’une des plus utilisées au monde, Let’s Encrypt, dépendait d’un certificat intermédiaire nommé DST Root CA X3, fourni par une autre autorité, IdenTrust. Ce certificat DST Root CA X3 a expiré le 30 septembre 2021.
Sur le papier, ça ne devait gêner personne : Let’s Encrypt avait depuis 2016 son propre certificat racine baptisé ISRG Root X1, demandé pour être inclus dans tous les navigateurs et systèmes d’exploitation, avant que l’autorité décide finalement de tout miser sur ce certificat maison. Le hic, c’est que ce nouveau certificat n’a été intégré nativement dans Android qu’à partir d’une certaine version. L’ISRG Root X1 est présent au sein de l’OS Android depuis Nougat 7.1.1, sorti fin 2016. toute tablette ou tout smartphone tournant sous une version antérieure (Marshmallow, Lollipop, KitKat, et j’en passe) ne connaît tout simplement pas ce certificat et refuse de faire confiance aux sites qui s’appuient dessus.
Pourquoi ça a mis autant de temps à se voir
Ce qui est amusant (enfin, façon de parler), c’est que le problème aurait dû exploser en 2021 pile. Mais Let’s Encrypt a bricolé une rustine technique pour gagner du temps. Let’s Encrypt et IdenTrust ont convenu qu’IdenTrust continuerait à signer le certificat ISRG Root X1 pendant trois années supplémentaires, une astuce qui exploite le fait qu’Android ne vérifie pas activement les dates d’expiration des certificats. Cette rustine devait tenir jusqu’à début 2024 grand maximum.
Depuis, le sursis est terminé. Ma tablette, plantée quelque part entre Android 5 et 6 selon mes souvenirs, se retrouve exactement dans la situation que Let’s Encrypt redoutait : tous les appareils cantonnés à une version d’Android antérieure à Nougat 7.1.1 et équipés de l’ancien certificat ne peuvent plus consulter les sites en HTTPS qui utilisent l’ISRG Root X1. Et vu qu’aujourd’hui l’immense majorité du web tourne sous Let’s Encrypt (c’est gratuit, automatisé, et à peu près tous les hébergeurs l’utilisent par défaut), ça revient à dire que quasiment aucun site sécurisé ne passe plus.
Firefox, la seule vraie porte de sortie
J’ai testé Chrome, l’appli Play Store refusait même de se mettre à jour tellement l’OS est ancien. J’ai testé le navigateur préinstallé Samsung, même verdict. La seule application qui a fini par afficher une page web sans hurler à l’attaque, c’est Firefox. Ce n’est pas un hasard : contrairement à Chrome, Opera ou aux navigateurs constructeurs qui s’appuient sur les certificats intégrés à l’OS mobile, Firefox embarque sa propre liste de confiance indépendante du système. Le navigateur libre présente en effet la particularité d’avoir son propre magasin de certificats racine, ce qui signifie concrètement qu’il traîne ses propres certificats à jour dans ses valises, peu importe l’âge de l’appareil.
Let’s Encrypt le recommandait déjà officiellement à l’époque : « Firefox est actuellement unique parmi les navigateurs, toute personne qui installe la dernière version du navigateur bénéficie d’une liste à jour d’autorités de certificats, même si son système d’exploitation est complètement obsolète ». J’ai installé Firefox sur ma tablette zombie, et miracle, YouTube, Wikipédia et mon site de journaux préférés se sont chargés sans broncher. Reste un détail gênant : ça ne règle rien pour les applications installées qui utilisent leur propre moteur de rendu web interne. Sur les forums, plusieurs utilisateurs témoignent du même souci en dehors du simple navigateur : la crainte que les applications comme Telegram, Twitter, Facebook, Doctolib ou WhatsApp ne fonctionnent plus non plus sur les vieux Android.
Ce que ça dit vraiment de nos vieux appareils
Ce blocage n’a rien à voir avec une panne matérielle. Ma tablette allume encore parfaitement son écran, sa batterie tient la charge, le processeur tourne. Le seul truc mort, c’est sa capacité logicielle à faire confiance au web moderne. C’est un cas d’école d’obsolescence purement logicielle : pas un composant cassé, juste un fabricant qui a arrêté les mises à jour de sécurité au bout de deux ou trois ans, condamnant l’appareil à devenir un presse-papier connecté dix ans plus tard.
Un détail technique mérite d’être signalé pour ceux qui retenteraient l’expérience chez eux : certains sites bancaires ou administratifs imposent aujourd’hui du TLS 1.2 minimum, un protocole de chiffrement que les très vieux Android gèrent mal ou pas du tout, en plus du souci de certificat. Même en passant par Firefox, certains services resteront donc hors de portée. Ma tablette de dix ans a fini sa soirée en lecteur vidéo YouTube offline et console de contrôle domotique basique, ce qui, à 220 euros investis il y a une décennie, reste un service rendu franchement honnête.
Sources : web.developpez.com | managedserver.fr