نسخه ۲۶.۱۰ اوبونتو (Stonking Stingray) قابلیت بررسی ابطال گواهینامه (Certificate Revocation) را به ابزار curl اضافه کرده است. این تغییر به این ابزار خط فرمان اجازه می‌دهد تا اتصالات HTTPS را در صورتی که از گواهینامه‌های ابطال‌شده استفاده کنند، رد کند.
رفع شکاف امنیتی در احراز هویت گواهینامه‌ها
این به‌روزرسانی با معرفی پشتیبانی از upki در بسته curl اوبونتو، گامی در جهت پیاده‌سازی بررسی‌های گواهینامه در سطح مرورگرها (Browser-grade) در سراسر سیستم‌عامل است. پیش از این، curl برای تأیید زنجیره‌های گواهینامه از OpenSSL استفاده می‌کرد، اما در پیکربندی پیش‌فرض اوبونتو، وضعیت ابطال گواهینامه بررسی نمی‌شد. این موضوع باعث می‌شد گواهینامه‌هایی که توسط صادرکننده (Issuer) ابطال شده بودند، همچنان مورد تأیید قرار گیرند.
مکانیزم عملکرد upki و فناوری CRLite
در نسخه جدید، curl از upki-openssl برای بررسی گواهینامه‌های سرور در برابر داده‌های ابطال ذخیره‌شده به‌صورت محلی استفاده می‌کند. این سیستم بر پایه فناوری CRLite شرکت موزیلا (Mozilla) بنا شده است؛ همان تکنولوژی که مرورگر Firefox برای شناسایی گواهینامه‌های ابطال‌شده به کار می‌برد.
از آنجایی که این بررسی بر اساس داده‌های محلی انجام می‌شود، curl برای هر اتصال نیازی به ارسال درخواست شبکه اضافی ندارد. این رویکرد باعث حفظ سرعت اتصالات شده و از ارسال پرس‌وجوهای مجزا هنگام بازدید از سایت‌ها جلوگیری می‌کند. با این حال، دانلودهای پس‌زمینه برای به‌روزرسانی این داده‌های محلی همچنان فعال است.
مدیریت و پیاده‌سازی
بسته upki به عنوان یک وابستگی توصیه شده (Recommended Dependency) معرفی شده و شامل یک تایمر systemd است که داده‌های ابطال را هر ۶ ساعت یک‌بار به‌روزرسانی می‌کند. نکته مهم این است که تا زمان اولین دانلود داده‌ها، curl مانند گذشته عمل کرده و حفاظت در برابر ابطال فعال نخواهد بود.
برای فعال‌سازی این قابلیت در اوبونتو ۲۶.۱۰، کاربران می‌توانند دستور sudo apt install upki و سپس sudo systemctl start upki-fetch.service را اجرا کنند. پس از این مراحل، تلاش برای اتصال به سایت‌هایی با گواهینامه ابطال‌شده (مانند revoked.badssl.com) با خطای 60 و پیام OpenSSL مبنی بر «certificate revoked (23)» مواجه خواهد شد.
ضرورت ابطال گواهینامه‌ها: مورد eMudhra
قابلیت ابطال به صادرکنندگان اجازه می‌دهد تا پیش از انقضای تاریخ گواهینامه، اعتماد به آن را سلب کنند. به عنوان مثال، در اکتبر سال جاری، حادثه‌ای مربوط به کلیدهای خصوصی ضعیف در هشت مرکز صدور گواهینامه میانی (Intermediate CA) شرکت eMudhra رخ داد. در یکی از موارد، کلید خصوصی تنها عدد «۴» بود که ریسک صدور گواهینامه‌های جعلی برای هر وب‌سایتی را ایجاد می‌کرد. در حالی که مرورگرهای Chrome و Firefox بلافاصله این گواهینامه‌ها را مسدود کردند، بسیاری از اپلیکیشن‌های دیگر مجبور شدند تا زمان دریافت به‌روزرسانی‌های توزیع منتظر بمانند.
چشم‌انداز آینده در اوبونتو ۲۷.۰۴
تیم Foundations اوبونتو در نظر دارد در نسخه ۲۷.۰۴، upki را به‌طور مستقیم در بررسی‌های عادی گواهینامه OpenSSL ادغام کند. در صورت تحقق، این تغییر حفاظت در برابر ابطال را به بیش از ۱,۰۰۰ بسته که مستقیماً از OpenSSL استفاده می‌کنند گسترش می‌دهد، بدون اینکه نیاز باشد هر اپلیکیشن به‌طور جداگانه تغییر یابد.
توصیه امنیتی: مدیران سیستم باید در صورت بروز خطای گواهینامه، علت را بررسی کنند و از دور زدن تأییدات (مانند استفاده از سوئیچ --insecure در محیط‌های عملیاتی) خودداری نمایند، زیرا این کار تأیید هویت طرف مقابل (Peer Verification) را به‌طور کامل غیرفعال می‌کند.
