Resumo:
A Canonical está promovendo uma grande atualização de infraestrutura de segurança para o sistema operacional Ubuntu. Com o lançamento oficial do Ubuntu 26.10 lançado em outubro deste ano, um novo recurso que antes recebia menos atenção começou a ser implantado, ou seja, suporte para verificação de revogação de certificado baseado no projeto upki. Esta tecnologia visa fornecer a todo o sistema Linux recursos de verificação de certificados e proteção de segurança próximos ao nível dos navegadores modernos.
A Canonical está se esforçando para estender os mecanismos de verificação de certificados de alto padrão usados há muito tempo pelos navegadores para toda a pilha do sistema operacional. Para atingir esse objetivo, a empresa escolheu o projeto upki do ecossistema Rustls. O projeto é desenvolvido na linguagem Rust e é baseado na tecnologia de segurança de certificados acumulada pela Mozilla ao longo dos anos. Ele pode verificar se os certificados digitais emitidos por uma autoridade de certificação publicamente confiável foram revogados.
Atualmente, o upki tem sido capaz de se integrar aos principais componentes de segurança, como OpenSSL e Rustls, e também fornece interfaces compatíveis com a linguagem C para facilitar o acesso a vários softwares e ambientes de desenvolvimento. Isso significa que, no futuro, não apenas os navegadores, mas também as ferramentas de comando do sistema, os gerenciadores de pacotes e outros aplicativos de rede poderão compartilhar recursos unificados de verificação de revogação de certificados.
A Canonical planejou originalmente ativar o suporte upki por padrão no Ubuntu 26.10, mas como o projeto não foi finalmente estabilizado até setembro deste ano, ele só foi aplicado ao pacote curl nesta versão. Em outras palavras, a ferramenta curl no Ubuntu 26.10 começou a utilizar o upki para verificação adicional de revogação de certificados, em vez de depender apenas do mecanismo tradicional de verificação da cadeia de certificados.
De acordo com o roteiro de desenvolvimento divulgado pela Canonical, a equipe de desenvolvimento planeja expandir ainda mais o escopo de implantação no Ubuntu 27.04 e integrar o upki ao pacote de software OpenSSL. Até lá, mais softwares que dependem do OpenSSL para comunicação segura ganharão automaticamente recursos de verificação de revogação de certificados, beneficiando todo o sistema.
O avanço deste trabalho está intimamente relacionado a um recente incidente de segurança de certificados. Em outubro deste ano, os pesquisadores descobriram que havia sérios problemas de segurança nas chaves privadas de algumas autoridades certificadoras intermediárias da eMudhra, um provedor de serviços de certificados digitais. Uma das chaves privadas era tão fraca que era apenas o número “4”. Teoricamente, um invasor poderia explorar tal vulnerabilidade para falsificar um certificado de site para conduzir um ataque man-in-the-middle ou falsificação de identidade.
Após o incidente, navegadores como Firefox e Chrome bloquearam rapidamente os certificados relevantes, mas muitos aplicativos comuns ainda precisam esperar que o sistema operacional atualize a lista de certificados antes de poderem ser protegidos. A Canonical acredita que isso expõe a velocidade de resposta insuficiente do atual ecossistema Linux no mecanismo de revogação de certificados.
O Upki foi projetado para resolver essa deficiência. O projeto é baseado na tecnologia CRLite da Mozilla e completa a verificação por meio de um banco de dados de revogação compacta sincronizado localmente. Não há necessidade de enviar solicitações de consulta adicionais à autoridade de certificação ao visitar o site. Portanto, ele pode não apenas garantir velocidade e privacidade, mas também identificar certificados expirados ou revogados em tempo hábil.
No Ubuntu 26.10, o sistema pode sincronizar regularmente os dados de revogação mais recentes por meio de serviços em segundo plano e é atualizado a cada seis horas por padrão. Após a conclusão da primeira sincronização, aplicativos habilitados para upki, como curl, podem verificar automaticamente o status do certificado do site de destino e se recusar a se conectar a servidores usando certificados revogados.
A Canonical afirmou que a implantação atual do upki no Ubuntu 26.10 é apenas o primeiro passo. No futuro, esta tecnologia será gradualmente estendida a todo o sistema operacional e se tornará uma parte importante da construção da infraestrutura de segurança de rede no nível do navegador do Ubuntu. À medida que mais e mais componentes do sistema acessam esse mecanismo, espera-se que a plataforma Linux veja melhorias significativas na verificação de certificados, na velocidade de resposta de revogação e na segurança geral da rede.
Saiba mais:
https://discourse.ubuntu.com/t/introduzindo-initial-upki-support/91540
Comentários