要約:
Canonical は、Ubuntu オペレーティング システムの主要なセキュリティ インフラストラクチャのアップグレードを進めています。今年 10 月にリリースされた Ubuntu 26.10 の正式リリースにより、これまであまり注目されていなかった新機能、つまり upki プロジェクトに基づく証明書失効検証サポートが導入され始めました。このテクノロジーは、最新のブラウザーのレベルに近い証明書検証機能とセキュリティ保護機能を Linux システム全体に提供することを目的としています。
Canonical は、ブラウザーで長年使用されてきた高標準の証明書検証メカニズムをオペレーティング システム スタック全体に拡張することを推進しています。この目標を達成するために、同社は Rustls エコシステムから upki プロジェクトを選択しました。このプロジェクトは Rust 言語を使用して開発されており、Mozilla が長年にわたって蓄積した証明書セキュリティ技術に基づいています。公的に信頼された認証局によって発行されたデジタル証明書が失効していないかどうかを確認できます。
現在、upki は OpenSSL や Rustls などの主流のセキュリティ コンポーネントと統合でき、さまざまなソフトウェアや開発環境へのアクセスを容易にする C 言語互換インターフェイスも提供しています。これは、将来的には、ブラウザだけでなく、システム コマンド ツール、パッケージ マネージャー、その他のネットワーク アプリケーションも、統合された証明書失効検証機能を共有できることを意味します。
Canonical は当初、Ubuntu 26.10 でデフォルトで upki サポートを有効にする予定でしたが、プロジェクトが最終的に安定するのが今年 9 月になったため、このリリースでは Curl パッケージにのみ適用されました。言い換えれば、Ubuntu 26.10 のcurl ツールは、従来の証明書チェーン検証メカニズムのみに依存するのではなく、追加の証明書失効チェックに upki を利用し始めています。
Canonical が公開した開発ロードマップによると、開発チームは Ubuntu 27.04 での展開範囲をさらに拡大し、upki を OpenSSL ソフトウェア パッケージに統合する予定です。それまでに、安全な通信のために OpenSSL に依存するより多くのソフトウェアが証明書失効検証機能を自動的に取得し、システム全体に利益がもたらされるでしょう。
この取り組みの進歩は、最近の証明書セキュリティ インシデントと密接に関連しています。今年 10 月、研究者らは、デジタル証明書サービス プロバイダーである eMudhra の一部の中間認証局の秘密鍵に重大なセキュリティ問題があることを発見しました。秘密鍵の 1 つは非常に弱く、数字の「4」だけでした。理論的には、攻撃者がこのような脆弱性を悪用して Web サイトの証明書を偽造し、中間者攻撃や ID 偽装を実行する可能性があります。
この事件の後、Firefox や Chrome などのブラウザは関連する証明書をすぐにブロックしましたが、多くの一般的なアプリケーションは依然として、保護される前にオペレーティング システムが証明書リストを更新するのを待つ必要があります。 Canonical は、これによって現在の Linux エコシステムの証明書失効メカニズムにおける応答速度が不十分であることが明らかになったと考えています。
Upki はこの欠点を解決するように設計されています。このプロジェクトは Mozilla の CRLite テクノロジーに基づいており、ローカルに同期されたコンパクトな失効データベースを通じて検証を完了します。 Web サイトにアクセスするときに、認証局に追加のクエリ要求を送信する必要はありません。したがって、速度とプライバシーを確保できるだけでなく、期限切れまたは失効した証明書をタイムリーに特定することもできます。
Ubuntu 26.10 では、システムはバックグラウンド サービスを通じて最新の失効データを定期的に同期でき、デフォルトでは 6 時間ごとに更新されます。最初の同期が完了すると、curl などの upki 対応アプリケーションは、ターゲット Web サイトの証明書ステータスを自動的に確認し、失効した証明書を使用するサーバーへの接続を拒否できます。
Canonical は、Ubuntu 26.10 での upki の現在の展開は最初のステップにすぎないと述べました。将来的には、このテクノロジーはオペレーティング システム全体に徐々に拡張され、Ubuntu によるブラウザ レベルのネットワーク セキュリティ インフラストラクチャの構築の重要な部分になる予定です。このメカニズムにアクセスするシステム コンポーネントが増えるにつれて、Linux プラットフォームでは、証明書の検証、失効の応答速度、および全体的なネットワーク セキュリティが大幅に向上することが期待されます。
詳細:
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
コメント