Ubuntu 26.10「Stonking Stingray」は、curlに証明書失効チェック機能を標準で組み込みました。これにより、ブラウザーの保護機能とコマンドラインのHTTPS接続との間にあったセキュリティ上のギャップが解消されます。
11月10日に発表されたこの統合では、UPKIを使って失効済みのサーバー証明書を拒否します。こうした証明書は、証明書チェーンの検証だけでは通過してしまう可能性がありました。
今回の変更により、アプリケーションが接続のたびに外部の失効確認サービスへ問い合わせなくても、暗号化通信の認証を強化できます。
ただしUbuntuは、今回のリリースをOS全体でブラウザー水準の証明書検証を実現するための第一歩と位置づけています。システム全体への展開が完了したわけではありません。
この実装では、curlが従来から使用しているOpenSSLの検証に、upki-opensslによる追加チェックを組み合わせています。Ubuntuの説明によると、OpenSSLは証明書チェーンを検証しますが、今回の構成ではデフォルトで失効の確認は行いません。
新たな統合では、サーバー証明書をローカルに保存された失効データセットと照合します。このため、従来のチェーン検証には合格する証明書でも、発行元によって失効されていれば拒否されます。
この違いが重要になるのは、有効期間内であっても、それまで信頼されていた証明書でサーバーを認証すべきでなくなった場合です。Upkiは、Firefoxにも導入されているMozillaのCRLite技術を利用し、失効情報をローカルで確認します。
検証時に追加のネットワークリクエストが必要となる仕組みとは異なり、この設計では接続時の失効情報の照会が不要です。そのため、パフォーマンスとプライバシーの両面で有利です。
大規模なSSL/TLS証明書の失効が起きた際にも有効です。そうした場面では、クライアントは有効期限の確認だけでなく、最新の失効情報を必要とします。
Ubuntuのデモンストレーションでは、テスト用の認証局と、MozillaのCRLiteツールで生成した失効データを使用しました。curl、OpenSSL、upkiのディストリビューション標準パッケージには、手を加えていません。
upkiパッケージは推奨依存パッケージです。失効データを6時間ごとに更新するsystemdタイマーも提供します。
管理者は初期化の要件に注意が必要です。最初の更新が成功するまで、curlは従来どおりに動作します。Ubuntu 26.10でインストールされていない場合は、sudo apt install upkiを実行し、続けてsudo systemctl start upki-fetch.serviceを実行すれば、データセットをすぐに取得できます。
その後は、バックグラウンドでの更新によってローカルの情報が維持されます。ただし発表では、この定期更新をリアルタイムの失効配信とは説明していません。証明書が失効されるたびに即座に保護されることも保証していません。
管理者は、curl https://revoked.badssl.com/で動作を確認できます。失効データが利用可能な状態であれば、Ubuntuの例ではcurlのエラー60とOpenSSLの検証結果certificate revoked (23)が返され、接続が阻止されます。
Ubuntuの比較では、失効済みのテスト証明書をUbuntu 26.04は受け入れ、Ubuntu 26.10は拒否しました。確認用には、curl -sw '%{certs}' https://ubuntu.com -o /dev/null | upki revocation checkコマンドで証明書の失効状態を確認できます。
これらのチェックを使えば、パッケージをインストールしただけの状態と、データセットの初期化が正常に完了した状態を、実用的な方法で区別できます。
Ubuntuは、10月17日にeMudhraの中間CA証明書8件に影響する脆弱な秘密鍵が見つかったことを、失効インフラの高速化が必要な理由として挙げています。
FirefoxとChromeは同日中にこれらの中間証明書をブロックしましたが、ほかのアプリケーションはディストリビューションの信頼ストアの更新を待つことになりました。
Foundationsチームは、Ubuntu 27.04でOpenSSLレベルのupki統合を計画しています。実現すれば、OpenSSLを直接利用する1,000以上のパッケージの大半に、個別のアプリケーション改修なしで保護が広がる可能性があります。
脅威調査を効率化し、手作業を減らすためにANY.RUNを活用する16,000以上のSOCチームに加わりませんか。チームでの利用を検討する
翻訳元: https://cyberpress.org/ubuntu-26-10-security-protection-ssl-certificates/
