Riassunto:
Canonical sta portando avanti un importante aggiornamento dell'infrastruttura di sicurezza per il sistema operativo Ubuntu. Con il lancio ufficiale di Ubuntu 26.10 rilasciato nell'ottobre di quest'anno, ha iniziato ad essere implementata una nuova funzionalità che prima aveva ricevuto meno attenzione, ovvero il supporto per la verifica della revoca dei certificati basato sul progetto upki. Questa tecnologia mira a fornire all'intero sistema Linux funzionalità di verifica dei certificati e protezione della sicurezza vicine al livello dei browser moderni.
Canonical sta spingendo per estendere i meccanismi di verifica dei certificati di alto livello utilizzati da tempo dai browser all'intero stack del sistema operativo. Per raggiungere questo obiettivo l’azienda ha scelto il progetto upki dell’ecosistema Rustls. Il progetto è sviluppato utilizzando il linguaggio Rust e si basa sulla tecnologia di sicurezza dei certificati accumulata da Mozilla nel corso degli anni. Può verificare se i certificati digitali emessi da un'autorità di certificazione pubblicamente attendibile sono stati revocati.
Attualmente, upki è in grado di integrarsi con i principali componenti di sicurezza come OpenSSL e Rustls e fornisce anche interfacce compatibili con il linguaggio C per facilitare l'accesso a vari software e ambienti di sviluppo. Ciò significa che in futuro non solo i browser, ma anche gli strumenti di comando di sistema, i gestori di pacchetti e altre applicazioni di rete potranno condividere funzionalità unificate di verifica della revoca dei certificati.
Canonical originariamente prevedeva di abilitare il supporto upki per impostazione predefinita in Ubuntu 26.10, ma poiché il progetto non è stato definitivamente stabilizzato fino a settembre di quest'anno, è stato applicato solo al pacchetto curl in questa versione. In altre parole, lo strumento curl in Ubuntu 26.10 ha iniziato a utilizzare upki per un ulteriore controllo sulla revoca dei certificati, anziché fare affidamento esclusivamente sul tradizionale meccanismo di verifica della catena di certificati.
Secondo la roadmap di sviluppo divulgata da Canonical, il team di sviluppo prevede di espandere ulteriormente l'ambito di distribuzione in Ubuntu 27.04 e integrare upki nel pacchetto software OpenSSL. A quel punto, più software che si affideranno a OpenSSL per comunicazioni sicure otterranno automaticamente funzionalità di verifica della revoca dei certificati, a vantaggio dell’intero sistema.
L'avanzamento di questo lavoro è strettamente correlato a un recente incidente relativo alla sicurezza dei certificati. Nell'ottobre di quest'anno, i ricercatori hanno scoperto che c'erano seri problemi di sicurezza nelle chiavi private di alcune autorità di certificazione intermedie di eMudhra, un fornitore di servizi di certificazione digitale. Una delle chiavi private era addirittura così debole che conteneva solo il numero "4". In teoria, un utente malintenzionato potrebbe sfruttare tale vulnerabilità per falsificare il certificato di un sito Web per condurre un attacco man-in-the-middle o un'imitazione dell'identità.
Dopo l'incidente, browser come Firefox e Chrome hanno bloccato rapidamente i relativi certificati, ma molte applicazioni comuni devono ancora attendere che il sistema operativo aggiorni l'elenco dei certificati prima di poter essere protette. Canonical ritiene che ciò esponga l'insufficiente velocità di risposta dell'attuale ecosistema Linux nel meccanismo di revoca del certificato.
Upki è progettato per risolvere questa lacuna. Il progetto si basa sulla tecnologia CRLite di Mozilla e completa la verifica attraverso un database di revoca compatto sincronizzato localmente. Non è necessario inviare ulteriori richieste di query all'autorità di certificazione quando si visita il sito Web. Pertanto, non solo può garantire velocità e privacy, ma anche identificare tempestivamente i certificati scaduti o revocati.
In Ubuntu 26.10, il sistema può sincronizzare regolarmente gli ultimi dati di revoca tramite servizi in background e viene aggiornato ogni sei ore per impostazione predefinita. Una volta completata la prima sincronizzazione, le applicazioni abilitate per upki come curl possono controllare automaticamente lo stato del certificato del sito Web di destinazione e rifiutarsi di connettersi ai server utilizzando certificati revocati.
Canonical ha affermato che l'attuale distribuzione di upki in Ubuntu 26.10 è solo il primo passo. In futuro, questa tecnologia verrà gradualmente estesa all'intero sistema operativo e diventerà una parte importante della costruzione di Ubuntu dell'infrastruttura di sicurezza di rete a livello di browser. Poiché sempre più componenti di sistema accedono a questo meccanismo, si prevede che la piattaforma Linux vedrà miglioramenti significativi nella verifica dei certificati, nella velocità di risposta alle revoche e nella sicurezza complessiva della rete.
Ulteriori informazioni:
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
Commenti