摘要：
Canonical正在为Ubuntu操作系统推进一项重要的安全基础设施升级。随着今年10月发布的Ubuntu 26.10正式上线，一项此前较少受到关注的新功能已经开始部署，那就是基于upki项目的证书吊销校验支持。这项技术旨在让整个Linux系统具备接近现代浏览器级别的证书验证和安全防护能力。
Canonical正在推动将浏览器长期采用的高标准证书验证机制扩展到整个操作系统栈。为实现这一目标，公司选择了来自Rustls生态的upki项目。该项目采用Rust语言开发，建立在Mozilla多年积累的证书安全技术基础之上，能够检查由公开可信证书颁发机构签发的数字证书是否已经被吊销。
目前，upki已经能够与OpenSSL、Rustls等主流安全组件集成，同时提供C语言兼容接口，方便各种软件和开发环境进行接入。这意味着未来不仅是浏览器，系统命令工具、软件包管理器以及其他网络应用程序都可以共享统一的证书吊销验证能力。
Canonical原本计划在Ubuntu 26.10中默认启用upki支持，但由于项目直到今年9月才最终稳定下来，因此此次发布中仅将其率先应用于curl软件包。也就是说，Ubuntu 26.10中的curl工具已经开始利用upki进行额外的证书吊销检查，而不是单纯依赖传统的证书链验证机制。
按照Canonical披露的发展路线图，开发团队计划在Ubuntu 27.04中进一步扩大部署范围，将upki集成到OpenSSL软件包中。届时，更多依赖OpenSSL进行安全通信的软件都将自动获得证书吊销验证能力，从而让整个系统受益。
这项工作的推进与近期发生的一起证书安全事件密切相关。今年10月，研究人员发现数字证书服务提供商eMudhra部分中间证书授权机构的私钥存在严重安全问题，其中一个私钥甚至弱到仅为数字“4”。理论上，攻击者可以利用这样的漏洞伪造网站证书，从而实施中间人攻击或身份冒充。
事件发生后，Firefox和Chrome等浏览器迅速封锁了相关证书，但许多普通应用程序仍需要等待操作系统更新证书列表后才能获得保护。Canonical认为，这暴露出当前Linux生态在证书吊销机制方面存在响应速度不足的问题。
而upki正是为了解决这一短板而设计。该项目基于Mozilla的CRLite技术，通过本地同步的紧凑型吊销数据库完成验证，无需在访问网站时向证书机构发送额外查询请求，因此既能保证速度和隐私，又能及时识别已经失效或被撤销的证书。
在Ubuntu 26.10中，系统可通过后台服务定期同步最新的吊销数据，默认每六小时更新一次。完成首次同步后，curl等支持upki的应用便能自动检查目标网站的证书状态，并拒绝连接到使用已吊销证书的服务器。
Canonical表示，当前在Ubuntu 26.10中部署upki只是第一步。未来该技术将逐步扩展至整个操作系统，并成为Ubuntu构建浏览器级网络安全基础设施的重要组成部分。随着越来越多系统组件接入这一机制，Linux平台在证书验证、吊销响应速度以及整体网络安全性方面有望获得显著提升。
了解更多：
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
评论