Résumé :
Canonical propose une mise à niveau majeure de l'infrastructure de sécurité pour le système d'exploitation Ubuntu. Avec le lancement officiel d'Ubuntu 26.10 publié en octobre de cette année, une nouvelle fonctionnalité qui avait reçu moins d'attention auparavant a commencé à être déployée, à savoir la prise en charge de la vérification de la révocation des certificats basée sur le projet upki. Cette technologie vise à fournir à l'ensemble du système Linux des capacités de vérification de certificat et de protection de sécurité proches du niveau des navigateurs modernes.
Canonical s'efforce d'étendre les mécanismes de vérification de certificat de haut niveau utilisés depuis longtemps par les navigateurs à l'ensemble de la pile du système d'exploitation. Pour atteindre cet objectif, l'entreprise a choisi le projet upki de l'écosystème Rustls. Le projet est développé en utilisant le langage Rust et est basé sur la technologie de sécurité des certificats accumulée par Mozilla au fil des années. Il peut vérifier si les certificats numériques émis par une autorité de certification de confiance publique ont été révoqués.
Actuellement, upki a pu s'intégrer aux composants de sécurité traditionnels tels que OpenSSL et Rustls, et fournit également des interfaces compatibles avec le langage C pour faciliter l'accès à divers logiciels et environnements de développement. Cela signifie qu'à l'avenir, non seulement les navigateurs, mais également les outils de commande système, les gestionnaires de packages et d'autres applications réseau pourront partager des capacités unifiées de vérification de la révocation des certificats.
Canonical avait initialement prévu d'activer la prise en charge d'upki par défaut dans Ubuntu 26.10, mais comme le projet n'a finalement été stabilisé qu'en septembre de cette année, il n'a été appliqué qu'au package curl dans cette version. En d'autres termes, l'outil curl d'Ubuntu 26.10 a commencé à utiliser upki pour une vérification supplémentaire de la révocation des certificats, plutôt que de s'appuyer uniquement sur le mécanisme traditionnel de vérification de la chaîne de certificats.
Selon la feuille de route de développement divulguée par Canonical, l'équipe de développement prévoit d'étendre davantage la portée du déploiement dans Ubuntu 27.04 et d'intégrer upki dans le progiciel OpenSSL. D’ici là, davantage de logiciels s’appuyant sur OpenSSL pour une communication sécurisée bénéficieront automatiquement de capacités de vérification de révocation de certificat, bénéficiant ainsi à l’ensemble du système.
L'avancement de ce travail est étroitement lié à un récent incident de sécurité des certificats. En octobre de cette année, des chercheurs ont découvert de graves problèmes de sécurité dans les clés privées de certaines autorités de certification intermédiaires d'eMudhra, un fournisseur de services de certification numérique. L’une des clés privées était même si faible qu’il ne s’agissait que du chiffre « 4 ». Théoriquement, un attaquant pourrait exploiter une telle vulnérabilité pour falsifier un certificat de site Web afin de mener une attaque de l'homme du milieu ou une usurpation d'identité.
Après l'incident, des navigateurs tels que Firefox et Chrome ont rapidement bloqué les certificats concernés, mais de nombreuses applications courantes doivent encore attendre que le système d'exploitation mette à jour la liste des certificats avant de pouvoir être protégées. Canonical estime que cela révèle la vitesse de réponse insuffisante de l'écosystème Linux actuel dans le mécanisme de révocation des certificats.
Upki est conçu pour résoudre cette lacune. Le projet est basé sur la technologie CRLite de Mozilla et effectue la vérification via une base de données de révocation compacte synchronisée localement. Il n'est pas nécessaire d'envoyer des demandes de requête supplémentaires à l'autorité de certification lors de la visite du site Web. Par conséquent, il peut non seulement garantir la rapidité et la confidentialité, mais également identifier en temps opportun les certificats expirés ou révoqués.
Dans Ubuntu 26.10, le système peut synchroniser régulièrement les dernières données de révocation via des services en arrière-plan, et elles sont mises à jour toutes les six heures par défaut. Une fois la première synchronisation terminée, les applications compatibles upki telles que curl peuvent vérifier automatiquement l'état du certificat du site Web cible et refuser de se connecter aux serveurs utilisant des certificats révoqués.
Canonical a déclaré que le déploiement actuel d'upki dans Ubuntu 26.10 n'est que la première étape. À l'avenir, cette technologie sera progressivement étendue à l'ensemble du système d'exploitation et deviendra un élément important de la construction par Ubuntu de l'infrastructure de sécurité réseau au niveau du navigateur. À mesure que de plus en plus de composants système accèdent à ce mécanisme, la plate-forme Linux devrait connaître des améliorations significatives en termes de vérification des certificats, de vitesse de réponse aux révocations et de sécurité globale du réseau.
En savoir plus :
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
Commentaires