Cloudflare 似乎开始使用新的 GTS ICA

[Shiroka]

刚才测试了一下，新签发的 GTS 证书从原来的 GTS CA 1P5 变成了 GTS CA 2P2 。

主要变化是，由原来的仅叶证书是 ECDSA 算法变为了全链都是，一般情况下可以节省更多流量。

但是，新的 GTS CA 2P2 也没有 1P5 那样的 GlobalSign R1 根交叉签名，而是由 GTS Root R4 这样一个 2016 年才有的根签名。这和 1998 年就有的 GlobalSign R1 具有的兼容性相差还是比较大的。

[Shiroka]

最近 Let's Encrypt 和 GTS 都更新了 acme.sh 签出来的 ICA ，分别是 E5 R11 和 WE1 WR1

[totoro625]

@Shiroka #1 看到人说新的 ICA 更容易被阻断 /t/1043955
新的 WR1 有什么优势吗？

[Shiroka]

@totoro625 比较扯，因为 1D4 1C3 wr2 we2 更多是用于谷歌自己内部服务，1P5 2P2 wr1 we1 则是用户自主签发用在自己的服务器上(比如 cloudflare keyless ssl)，而现在谷歌的 ip 被墙很多，自己的服务器没有这种待遇，所以就被理解为用了 wr2 就被阻断