Resumen:
Canonical está avanzando en una importante actualización de la infraestructura de seguridad para el sistema operativo Ubuntu. Con el lanzamiento oficial de Ubuntu 26.10 en octubre de este año, ha comenzado a implementarse una nueva característica que ha recibido menos atención antes, es decir, soporte de verificación de revocación de certificados basado en el proyecto upki. Esta tecnología tiene como objetivo proporcionar a todo el sistema Linux capacidades de verificación de certificados y protección de seguridad cercanas al nivel de los navegadores modernos.
Canonical está presionando para extender los mecanismos de verificación de certificados de alto estándar utilizados durante mucho tiempo por los navegadores a todo el sistema operativo. Para lograr este objetivo, la empresa eligió el proyecto upki del ecosistema Rustls. El proyecto se desarrolla utilizando el lenguaje Rust y se basa en la tecnología de seguridad de certificados acumulada por Mozilla a lo largo de los años. Puede comprobar si los certificados digitales emitidos por una autoridad certificadora de confianza pública han sido revocados.
Actualmente, upki ha podido integrarse con componentes de seguridad convencionales como OpenSSL y Rustls, y también proporciona interfaces compatibles con el lenguaje C para facilitar el acceso a diversos entornos de software y desarrollo. Esto significa que en el futuro, no sólo los navegadores, sino también las herramientas de comando del sistema, los administradores de paquetes y otras aplicaciones de red podrán compartir capacidades unificadas de verificación de revocación de certificados.
Canonical planeó originalmente habilitar el soporte upki de forma predeterminada en Ubuntu 26.10, pero como el proyecto finalmente no se estabilizó hasta septiembre de este año, solo se aplicó al paquete curl en esta versión. En otras palabras, la herramienta curl en Ubuntu 26.10 ha comenzado a utilizar upki para una verificación adicional de revocación de certificados, en lugar de depender únicamente del mecanismo tradicional de verificación de la cadena de certificados.
De acuerdo con la hoja de ruta de desarrollo revelada por Canonical, el equipo de desarrollo planea ampliar aún más el alcance de la implementación en Ubuntu 27.04 e integrar upki en el paquete de software OpenSSL. Para entonces, más software que dependa de OpenSSL para una comunicación segura obtendrá automáticamente capacidades de verificación de revocación de certificados, beneficiando a todo el sistema.
El avance de este trabajo está estrechamente relacionado con un incidente reciente de seguridad de certificados. En octubre de este año, los investigadores descubrieron que había graves problemas de seguridad en las claves privadas de algunas autoridades certificadoras intermedias de eMudhra, un proveedor de servicios de certificados digitales. Una de las claves privadas era tan débil que solo era el número "4". En teoría, un atacante podría aprovechar dicha vulnerabilidad para falsificar un certificado de sitio web para llevar a cabo un ataque de intermediario o suplantación de identidad.
Después del incidente, navegadores como Firefox y Chrome bloquearon rápidamente los certificados relevantes, pero muchas aplicaciones comunes aún deben esperar a que el sistema operativo actualice la lista de certificados antes de poder protegerlas. Canonical cree que esto expone la velocidad de respuesta insuficiente del ecosistema Linux actual en el mecanismo de revocación de certificados.
Upki está diseñado para resolver esta deficiencia. El proyecto se basa en la tecnología CRLite de Mozilla y completa la verificación a través de una base de datos de revocación compacta sincronizada localmente. No es necesario enviar solicitudes de consulta adicionales a la autoridad certificadora cuando visita el sitio web. Por lo tanto, no sólo puede garantizar la velocidad y la privacidad, sino también identificar oportunamente los certificados caducados o revocados.
En Ubuntu 26.10, el sistema puede sincronizar periódicamente los datos de revocación más recientes a través de servicios en segundo plano y se actualiza cada seis horas de forma predeterminada. Una vez completada la primera sincronización, las aplicaciones habilitadas para upki, como curl, pueden verificar automáticamente el estado del certificado del sitio web de destino y negarse a conectarse a servidores que utilizan certificados revocados.
Canonical declaró que la implementación actual de upki en Ubuntu 26.10 es solo el primer paso. En el futuro, esta tecnología se extenderá gradualmente a todo el sistema operativo y se convertirá en una parte importante de la construcción de la infraestructura de seguridad de red a nivel del navegador de Ubuntu. A medida que más y más componentes del sistema accedan a este mecanismo, se espera que la plataforma Linux experimente mejoras significativas en la verificación de certificados, la velocidad de respuesta de revocación y la seguridad general de la red.
Más información:
https://discourse.ubuntu.com/t/introceived-initial-upki-support/91540
Comentarios