Ubuntu 26.10'da curl iptal edilmiş sertifikaları reddediyor: upki ve CRLite ile yerel denetim, sırada OpenSSL var
Ubuntu 26.10, curl'e sertifika iptal (revocation) denetimini yerleşik olarak getirdi. Denetim rustls geliştiricilerinin upki projesiyle ve Mozilla'nın CRLite yöntemiyle yerelde yapılıyor; Canonical bir sonraki adımda aynı denetimi OpenSSL'e taşımayı hedefliyor.
Ubuntu 26.10 ile gelen curl, sunucu sertifikasının iptal edilip edilmediğini artık kendisi kontrol ediyor. Denetim, rustls geliştiricilerinin başlattığı upki projesinden geliyor. Ubuntu geliştiricilerinin paylaştığı karşılaştırmada aynı curl komutu Ubuntu 26.04'te iptal edilmiş bir sertifikayı kabul edip bağlanırken 26.10'da bağlantıyı reddediyor.
Sorunun kökü OpenSSL'in varsayılan davranışında: OpenSSL sertifika zincirini doğruluyor ama zincirdeki bir sertifikanın sertifika otoritesi (CA) tarafından iptal edilip edilmediğine bakmıyor. Bu yüzden tarayıcıların aynı gün engellediği sertifikalar, curl gibi tarayıcı dışı araçlarda dağıtımlar güncel ca-certificates paketini yayımlayana kadar güvenilir kalabiliyordu.
Nasıl çalışıyor?
26.10'da curl, sunucu sertifikasını makinede tutulan bir iptal listesiyle karşılaştırıyor. Liste, Firefox'un da kullandığı Mozilla CRLite sıkıştırma yöntemiyle oluşturuluyor. Veri zaten yerelde olduğu için ek ağ isteği yapılmıyor: bağlantı bir sorgu yanıtını beklemiyor ve dışarıdaki bir sunucu hangi siteye bağlandığınızı görmüyor. upki paketi bir systemd timer ile veriyi altı saatte bir yeniliyor; ilk indirme tamamlanana kadar curl eskisi gibi davranıyor.
Canonical'ın sonraki hedefi upki'yi Ubuntu'nun OpenSSL'ine eklemek. Bu gerçekleşirse OpenSSL'i doğrudan kullanan 1.000'den fazla paketin çoğu kod değişikliği olmadan aynı denetimi kazanacak. Şimdilik kapsam yalnızca curl.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Ubuntu (curl) | 26.04 ve öncesi: iptal denetimi yok | 26.10 (upki ile yerleşik denetim) |
| Ubuntu (OpenSSL ile çalışan diğer paketler) | Tüm sürümler | Henüz yok; Canonical'ın planında |
Beni etkiliyor mu?
Sürümünüzü ve upki paketinin kurulu olup olmadığını salt okunur komutlarla görebilirsiniz:
cat /etc/os-release
dpkg -l | grep -E "curl|upki"26.10 öncesi sürümlerde curl ve OpenSSL'in varsayılan doğrulamasına dayanan tarayıcı dışı araçlar, iptal edilmiş bir sertifikayı kendiliğinden fark etmez.
Ne yapılmalı?
- 26.10'a geçen sistemlerde upki paketinin kurulu olduğunu ve verinin ilk kez indirildiğini doğrulayın; Help Net Security'ye göre hemen devreye almak isteyenler upki'yi apt ile kurup veri çekme servisini kendileri başlatabilir.
- LTS'te kalan (26.04 ve öncesi) sunucularda
ca-certificatesgüncellemelerini geciktirmeyin; iptal edilen bir CA sertifikasına karşı tek koruma bu paket. - Çıkış trafiği kısıtlı ortamlarda altı saatlik veri yenilemesinin hangi adrese gittiğini Canonical belgelerinden kontrol edip change management kaydına alın.
- OpenSSL entegrasyonu duyurusunu izleyin; geldiğinde iç uygulamalarda iptal edilmiş sertifika kullanan servisler bağlantı hatası verebilir.
