Το Ubuntu 26.10 Stonking Stingray προσθέτει ελέγχους ανάκλησης πιστοποιητικών στο curl, βοηθώντας το εργαλείο γραμμής εντολών να απορρίπτει συνδέσεις HTTPS που χρησιμοποιούν ανακληθέντα πιστοποιητικά.
Η αλλαγή, που ανακοινώθηκε στις 10 Νοεμβρίου, φέρνει υποστήριξη upki στο πακέτο curl του Ubuntu και αποτελεί ένα πρώτο βήμα προς ελέγχους πιστοποιητικών επιπέδου προγράμματος περιήγησης σε όλο το λειτουργικό σύστημα.
Ubuntu 26.10: Ένα κενό στον έλεγχο πιστοποιητικών
Η προστασία κλείνει ένα κενό στον τρόπο με τον οποίο οι εφαρμογές ελέγχουν τα πιστοποιητικά των ιστοτόπων. Το curl χρησιμοποιεί το OpenSSL για να επαληθεύει τις αλυσίδες πιστοποιητικών, όμως η διαδικασία αυτή δεν ελέγχει την ανάκληση από προεπιλογή στη διαμόρφωση που περιγράφει το Ubuntu. Ένα πιστοποιητικό θα μπορούσε επομένως να περάσει τους ελέγχους ακόμη και αφού ο εκδότης του το είχε αποσύρει.
Σύμφωνα με την ανακοίνωση του Ubuntu, το curl χρησιμοποιεί πλέον το upki-openssl για να ελέγχει τα πιστοποιητικά των διακομιστών με βάση τοπικά αποθηκευμένα δεδομένα ανάκλησης. Το σύστημα βασίζεται στην τεχνολογία CRLite της Mozilla, την οποία χρησιμοποιεί και το Firefox. Επειδή ο έλεγχος γίνεται με τοπικά δεδομένα, το curl δεν χρειάζεται επιπλέον αίτημα δικτύου σε κάθε σύνδεση. Έτσι οι έλεγχοι παραμένουν γρήγοροι και δεν στέλνεται ξεχωριστό ερώτημα ανάκλησης όταν οι χρήστες επισκέπτονται έναν ιστότοπο. Λήψεις στο παρασκήνιο συνεχίζουν να γίνονται για την ενημέρωση των τοπικών δεδομένων.
Το πακέτο upki είναι προτεινόμενη εξάρτηση και περιλαμβάνει έναν χρονιστή του systemd που ανανεώνει τα δεδομένα ανάκλησης κάθε έξι ώρες. Μέχρι την πρώτη λήψη, το curl συνεχίζει να λειτουργεί όπως πριν, χωρίς την πρόσθετη προστασία ανάκλησης.
Εγκατάσταση και επόμενα βήματα
Οι χρήστες του Ubuntu 26.10 μπορούν να εγκαταστήσουν το πακέτο με την εντολή sudo apt install upki και να λάβουν τα αρχικά δεδομένα με την εντολή sudo systemctl start upki-fetch.service. Η εκτέλεση της εντολής curl https://revoked.badssl.com/ θα πρέπει στη συνέχεια να αποτυγχάνει με το σφάλμα curl 60 και ένα μήνυμα του OpenSSL που αναφέρει «certificate revoked (23)». Τα μη ανακληθέντα πιστοποιητικά συνεχίζουν να λειτουργούν κανονικά.
Οι διαχειριστές πρέπει να διερευνούν τις αποτυχίες πιστοποιητικών και να μην παρακάμπτουν την επαλήθευση. Η τεκμηρίωση του curl προειδοποιεί έντονα κατά της χρήσης της επιλογής -insecure στην παραγωγή, επειδή απενεργοποιεί την επαλήθευση του ομότιμου.
Για το Ubuntu 27.04, η ομάδα Foundations σχεδιάζει να ενσωματώσει το upki στους κανονικούς ελέγχους πιστοποιητικών του OpenSSL. Αν υλοποιηθεί, η αλλαγή αυτή θα μπορούσε να επεκτείνει την προστασία ανάκλησης στα περισσότερα από τα πάνω από 1.000 πακέτα που χρησιμοποιούν απευθείας το OpenSSL, χωρίς να απαιτούνται ξεχωριστές αλλαγές σε κάθε εφαρμογή. Η ευρύτερη αυτή κάλυψη παραμένει σχέδιο και δεν αποτελεί μέρος της αρχικής διάθεσης στο curl.