Аннотация:
Canonical продвигает масштабное обновление инфраструктуры безопасности для операционной системы Ubuntu. С официальным запуском Ubuntu 26.10, выпущенным в октябре этого года, начала развертываться новая функция, которой раньше уделялось меньше внимания, а именно поддержка проверки отзыва сертификатов на основе проекта upki. Целью этой технологии является обеспечение всей системы Linux возможностями проверки сертификатов и защиты безопасности, близкими к уровню современных браузеров.
Canonical стремится распространить высокостандартные механизмы проверки сертификатов, давно используемые браузерами, на весь стек операционной системы. Для достижения этой цели компания выбрала проект upki из экосистемы Rustls. Проект разработан на языке Rust и основан на технологии безопасности сертификатов, накопленной Mozilla за долгие годы. Он может проверить, были ли отозваны цифровые сертификаты, выданные общедоступным центром сертификации.
В настоящее время upki может интегрироваться с основными компонентами безопасности, такими как OpenSSL и Rustls, а также предоставляет интерфейсы, совместимые с языком C, для облегчения доступа к различному программному обеспечению и средам разработки. Это означает, что в будущем не только браузеры, но и системные командные инструменты, менеджеры пакетов и другие сетевые приложения смогут использовать унифицированные возможности проверки отзыва сертификатов.
Изначально компания Canonical планировала включить поддержку upki по умолчанию в Ubuntu 26.10, но поскольку проект не был окончательно стабилизирован до сентября этого года, в этом выпуске она была применена только к пакету Curl. Другими словами, инструмент Curl в Ubuntu 26.10 начал использовать upki для дополнительной проверки отзыва сертификатов, а не полагаться исключительно на традиционный механизм проверки цепочки сертификатов.
Согласно плану разработки, раскрытому Canonical, команда разработчиков планирует дальнейшее расширение области развертывания Ubuntu 27.04 и интеграцию upki в программный пакет OpenSSL. К тому времени все больше программ, использующих OpenSSL для обеспечения безопасной связи, автоматически получат возможности проверки отзыва сертификатов, что принесет пользу всей системе.
Продвижение этой работы тесно связано с недавним инцидентом, связанным с безопасностью сертификатов. В октябре этого года исследователи обнаружили серьезные проблемы с безопасностью закрытых ключей некоторых промежуточных центров сертификации eMudhra, поставщика услуг цифровых сертификатов. Один из закрытых ключей был настолько слабым, что представлял собой всего лишь цифру «4». Теоретически злоумышленник может воспользоваться такой уязвимостью для подделки сертификата веб-сайта и проведения атаки «человек посередине» или выдачи себя за другое лицо.
После инцидента такие браузеры, как Firefox и Chrome, быстро заблокировали соответствующие сертификаты, но многим распространенным приложениям все еще приходится ждать, пока операционная система обновит список сертификатов, прежде чем их можно будет защитить. Canonical считает, что это демонстрирует недостаточную скорость отклика текущей экосистемы Linux в механизме отзыва сертификатов.
Упки призван решить этот недостаток. Проект основан на технологии Mozilla CRLite и завершает проверку через локально синхронизированную компактную базу данных отзывов. При посещении сайта нет необходимости отправлять дополнительные запросы в центр сертификации. Таким образом, он может не только обеспечить скорость и конфиденциальность, но и своевременно выявить просроченные или отозванные сертификаты.
В Ubuntu 26.10 система может регулярно синхронизировать последние данные об отзыве через фоновые службы, и по умолчанию они обновляются каждые шесть часов. После завершения первой синхронизации приложения с поддержкой Upki, такие как Curl, могут автоматически проверять статус сертификата целевого веб-сайта и отказываться подключаться к серверам, использующим отозванные сертификаты.
В компании Canonical заявили, что текущее развертывание upki в Ubuntu 26.10 — это только первый шаг. В будущем эта технология будет постепенно распространена на всю операционную систему и станет важной частью построения инфраструктуры сетевой безопасности на уровне браузера в Ubuntu. Поскольку все больше и больше системных компонентов получают доступ к этому механизму, ожидается, что платформа Linux увидит значительные улучшения в проверке сертификатов, скорости ответа на отзыв и общей сетевой безопасности.
Подробнее:
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
Комментарии