Zusammenfassung:
Canonical treibt ein umfassendes Upgrade der Sicherheitsinfrastruktur für das Ubuntu-Betriebssystem voran. Mit der offiziellen Veröffentlichung von Ubuntu 26.10 im Oktober dieses Jahres wurde mit der Einführung einer neuen Funktion begonnen, die zuvor weniger Beachtung gefunden hat, nämlich der Unterstützung für die Überprüfung von Zertifikatswiderrufen basierend auf dem Upki-Projekt. Ziel dieser Technologie ist es, dem gesamten Linux-System Zertifikatsüberprüfungs- und Sicherheitsschutzfunktionen bereitzustellen, die dem Niveau moderner Browser nahe kommen.
Canonical drängt darauf, die von Browsern seit langem verwendeten hochstandardisierten Zertifikatsüberprüfungsmechanismen auf den gesamten Betriebssystem-Stack auszudehnen. Um dieses Ziel zu erreichen, wählte das Unternehmen das Upki-Projekt aus dem Rustls-Ökosystem. Das Projekt wird in der Rust-Sprache entwickelt und basiert auf der von Mozilla im Laufe der Jahre gesammelten Zertifikatsicherheitstechnologie. Es kann prüfen, ob von einer öffentlich vertrauenswürdigen Zertifizierungsstelle ausgestellte digitale Zertifikate widerrufen wurden.
Upki konnte sich derzeit in gängige Sicherheitskomponenten wie OpenSSL und Rustls integrieren und bietet außerdem mit der Sprache C kompatible Schnittstellen, um den Zugriff auf verschiedene Software- und Entwicklungsumgebungen zu erleichtern. Dies bedeutet, dass in Zukunft nicht nur Browser, sondern auch Systembefehlstools, Paketmanager und andere Netzwerkanwendungen einheitliche Funktionen zur Überprüfung der Zertifikatsperrung gemeinsam nutzen können.
Canonical hatte ursprünglich geplant, die Upki-Unterstützung standardmäßig in Ubuntu 26.10 zu aktivieren, aber da das Projekt erst im September dieses Jahres endgültig stabilisiert wurde, wurde es in dieser Version nur auf das Curl-Paket angewendet. Mit anderen Worten: Das Curl-Tool in Ubuntu 26.10 hat damit begonnen, Upki für zusätzliche Zertifikatssperrprüfungen zu nutzen, anstatt sich ausschließlich auf den herkömmlichen Mechanismus zur Zertifikatskettenüberprüfung zu verlassen.
Laut der von Canonical veröffentlichten Entwicklungs-Roadmap plant das Entwicklungsteam, den Bereitstellungsumfang in Ubuntu 27.04 weiter zu erweitern und upki in das OpenSSL-Softwarepaket zu integrieren. Bis dahin wird mehr Software, die für die sichere Kommunikation auf OpenSSL angewiesen ist, automatisch Funktionen zur Überprüfung des Zertifikatswiderrufs erhalten, was dem gesamten System zugute kommt.
Der Fortschritt dieser Arbeit steht in engem Zusammenhang mit einem kürzlichen Vorfall bei der Zertifikatsicherheit. Im Oktober dieses Jahres entdeckten Forscher, dass es schwerwiegende Sicherheitsprobleme in den privaten Schlüsseln einiger Zwischenzertifizierungsstellen von eMudhra, einem Anbieter digitaler Zertifikatsdienste, gab. Einer der privaten Schlüssel war sogar so schwach, dass es sich lediglich um die Zahl „4“ handelte. Theoretisch könnte ein Angreifer eine solche Schwachstelle ausnutzen, um ein Website-Zertifikat zu fälschen, um einen Man-in-the-Middle-Angriff oder einen Identitätswechsel durchzuführen.
Nach dem Vorfall blockierten Browser wie Firefox und Chrome schnell die relevanten Zertifikate, viele gängige Anwendungen müssen jedoch noch darauf warten, dass das Betriebssystem die Zertifikatsliste aktualisiert, bevor sie geschützt werden können. Canonical ist der Ansicht, dass dies die unzureichende Reaktionsgeschwindigkeit des aktuellen Linux-Ökosystems im Zertifikatssperrmechanismus aufdeckt.
Upki soll dieses Manko beheben. Das Projekt basiert auf der CRLite-Technologie von Mozilla und vervollständigt die Überprüfung durch eine lokal synchronisierte kompakte Sperrdatenbank. Es ist nicht erforderlich, beim Besuch der Website zusätzliche Abfrageanfragen an die Zertifizierungsstelle zu senden. Daher kann es nicht nur Geschwindigkeit und Datenschutz gewährleisten, sondern auch abgelaufene oder widerrufene Zertifikate rechtzeitig identifizieren.
In Ubuntu 26.10 kann das System regelmäßig die neuesten Sperrdaten über Hintergrunddienste synchronisieren und sie werden standardmäßig alle sechs Stunden aktualisiert. Nach Abschluss der ersten Synchronisierung können Upki-fähige Anwendungen wie Curl automatisch den Zertifikatsstatus der Zielwebsite überprüfen und die Verbindung zu Servern mit widerrufenen Zertifikaten verweigern.
Canonical gab an, dass die aktuelle Bereitstellung von upki in Ubuntu 26.10 nur der erste Schritt sei. In Zukunft wird diese Technologie schrittweise auf das gesamte Betriebssystem ausgeweitet und ein wichtiger Bestandteil des Aufbaus der Netzwerksicherheitsinfrastruktur auf Browserebene durch Ubuntu werden. Da immer mehr Systemkomponenten auf diesen Mechanismus zugreifen, wird erwartet, dass die Linux-Plattform erhebliche Verbesserungen bei der Zertifikatsüberprüfung, der Reaktionsgeschwindigkeit bei Sperrungen und der allgemeinen Netzwerksicherheit erfahren wird.
Weitere Informationen:
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
Kommentare