iks牛人大佬：
原贴 https://mjjcpu.com/776324-1-1.html by @ontochom
根据原贴老哥的说法，目前从 Let’s Encrypt 签出来的叶子证书颁发者已由 Let’s Encrypt Authority X3 变为 R3
几个月前 Let’s Encrypt 博客就公布了这个计划，参见 https://letsencrypt.org/2020/09/17/new-root-and-intermediates.html
下面抽取几个关键变化：
1. 叶子证书的 OCSP 域名变了，因使用 Let’s Encrypt 证书导致 OCSP 超时而影响网站访问速度的问题可以得到解决
四月份 Let’s Encrypt Authority X3 颁发的证书 OCSP 域名被污染时我就说过这个问题持续时间不会很久，因为我看到 Let’s Encrypt Authority X3 本证书和为其背书的 DST ROOT X3 都将在2021年到期。而彼时 Let’s Encrypt 尚未准备下一代中间证书体系，被污染的 ocsp.int-x3.letsencrypt.org 是专属于 Let’s Encrypt Authority X3 叶子证书的 OCSP 域名，就算方校长那侧不打算妥协，只要 Let’s Encrypt Authority X3 不再签发证书，等到下一代中间证书开始颁发叶子证书，Let’s Encrypt CA 的 PKI 就是世界性正常的。现在祈愿一下 r3.o.lencr.org 不出意外，否则高墙当局就真不要脸+霸权主义。
2. 中间证书取消 OCSP
没啥好说的，对日常影响不大，因为大部分浏览器都只校验叶子证书的OCSP而懒得管中间证书(Let’s Encrypt 博客的原话是「对中间证书的校验上，CRL 是个比 OCSP 更经济的方案」)
3. 根证书级支持 ECC 算法
之前的 Let’s Encrypt Authority X3 的签名算法是 RSA (继承于 DST ROOT X3)，这次 Let’s Encrypt CA 的 PKI 体系除了新增了新中间证书外还增加了使用 ECC签名的 ISRG Root X2，自签的同时也有 ISRG Root X1 背书，由此根签发了 E1 这款同样使用 ECC 签名的中间证书，现今对 Let’s Encrypt 的证书请求将由 R3 签出 RSA、E1 签出 ECC
4. 削减证书长度
与2的精神一样，去掉了证书中的不必要内容，减少证书体积以降低所有使用 Let’s Encrypt 证书的连接耗费的流量
提示：
R3 和 Let’s Encrypt Authority X3 的使用者密钥标识符不同，这意味着从 Let’s Encrypt Authority X3 迁移到 R3 的使用者应同时切换证书链以免造成访客浏览器无法信任站点的问题
ECC 证书链更长。目前针对 ECC 证书最保险的完整证书链应为 DST ROOT X3 → ISRG Root X1 → ISRG Root X2 → E1 → 叶子证书
其中 DST ROOT X3 可选，但余下的每一级证书其签发者必须对应前一个证书名称
以上
iks牛人大佬：
什么是叶子证书？
名词解释
叶子证书：最终用户证书，在此处指载有你的域名的证书
OCSP：在线证书状态协议，设计为 client 向 CA 发送 server 传递的证书信息摘要以取得此证书实时状态的机制，目前 Chromium 内核默认不进行此校验，其它浏览器多多少少执行此校验
ECC 相较于 RSA，出得更晚、兼容性(对老旧设备)稍差、节省传输流量和通信性能
manc牛人大佬：
什么是叶子证书？
我y零kk牛人大佬：
换R3是因为之前的中间证书Let‘s Encrypt Authority X3将于明年3.18到期，也就是一月中旬将是这张中间证书最后的签发期限
签发R3也有说明是趁着DST Root X3尚未过期而提供的过渡证书，在明年上半年你可以选择迁移到其他PKI或者准备接触ISRG X1的新证书，应该是明年1.13开始提供
至于OCSP域名污染这个存疑，因为ocsp.int-x3.letsencrypt.org是通过ocsp.int-x3.letsencrypt.org.edgesuite.net指向a771.dscq.akamai.net，受到污染的是a771.dscq.akamai.net，这个CNAME发生了什么不得而知，但是如果针对LE的话完全可以直接污染LE的OCSP地址，随之而来的SNI阻断会让本地hosts或者doh/dot之类的也没有作用
如果ocsp.int-x3.letsencrypt.org更换CDN服务商或者更换CNAME就是完全正常的，这个域名在以后的OCSP中出现不会直接影响可用性
新的R3指向是a1887.dscq.akamai.net，这张证书有效期短看不出来什么，等看ISRG X1的吧
1016797313牛人大佬：
感谢牛人大佬，帮顶
iks牛人大佬：
换R3是因为之前的中间证书Let‘s Encrypt Authority X3将于明年3.18到期，也就是一月中旬将是这张中间证书 …
四月中旬单独请求过 ocsp.int-x3.letsencrypt.org.edgesuite.net 和 a771.dscq.akamai.net 的 DNS 记录，返回结果乃正常地址，说明 ocsp.int-x3.letsencrypt.org 才是被单独定点打击的对象
我给 Let’s Encrypt 安全部门去过信，根据 Let’s Encrypt 论坛/社区的公开信息，Akamai 表示无法原地解决这个问题，这也是我担心新 OCSP 地址同样被污染的原因
我y零kk牛人大佬：
四月中旬单独请求过 ocsp.int-x3.letsencrypt.org.edgesuite.net 和 a771.dscq.akamai.net 的 DNS 记录， …
http://ping.chinaz.com/a771.dscq.akamai.net
你确定你真的尝试过去请求一下么