الملخص:
تعمل Canonical على تطوير ترقية كبيرة للبنية الأساسية الأمنية لنظام التشغيل Ubuntu. مع الإطلاق الرسمي لـ Ubuntu 26.10 الذي تم إصداره في أكتوبر من هذا العام، بدأ نشر ميزة جديدة لم تحظ باهتمام كبير من قبل، وهي دعم التحقق من إبطال الشهادة استنادًا إلى مشروع upki. تهدف هذه التقنية إلى تزويد نظام Linux بأكمله بإمكانيات التحقق من الشهادات والحماية الأمنية التي تقترب من مستوى المتصفحات الحديثة.
تسعى شركة Canonical إلى توسيع آليات التحقق من الشهادات عالية المستوى التي تستخدمها المتصفحات منذ فترة طويلة لتشمل مجموعة أنظمة التشغيل بأكملها. ولتحقيق هذا الهدف، اختارت الشركة مشروع upki من النظام البيئي Rustls. تم تطوير المشروع باستخدام لغة Rust ويعتمد على تقنية أمان الشهادات التي تراكمت لدى Mozilla على مر السنين. يمكنه التحقق مما إذا كان قد تم إبطال الشهادات الرقمية الصادرة عن مرجع مصدق موثوق به بشكل عام.
في الوقت الحالي، تمكنت upki من التكامل مع مكونات الأمان السائدة مثل OpenSSL وRustls، وتوفر أيضًا واجهات متوافقة مع لغة C لتسهيل الوصول إلى مختلف بيئات البرامج والتطوير. وهذا يعني أنه في المستقبل، لن تتمكن المتصفحات فقط، ولكن أيضًا أدوات أوامر النظام ومديري الحزم وتطبيقات الشبكة الأخرى، من مشاركة إمكانات التحقق الموحدة من إلغاء الشهادة.
كانت Canonical تخطط في الأصل لتمكين دعم upki افتراضيًا في Ubuntu 26.10، ولكن بما أن المشروع لم يستقر أخيرًا حتى سبتمبر من هذا العام، فقد تم تطبيقه فقط على حزمة الضفيرة في هذا الإصدار. بمعنى آخر، بدأت أداة التجعيد في Ubuntu 26.10 في استخدام upki للتحقق الإضافي من إبطال الشهادات، بدلاً من الاعتماد فقط على آلية التحقق التقليدية من سلسلة الشهادات.
وفقًا لخارطة طريق التطوير التي كشفت عنها Canonical، يخطط فريق التطوير لتوسيع نطاق النشر في Ubuntu 27.04 ودمج upki في حزمة برامج OpenSSL. بحلول ذلك الوقت، المزيد من البرامج التي تعتمد على OpenSSL للاتصال الآمن ستكتسب تلقائيًا إمكانات التحقق من إلغاء الشهادة، مما يفيد النظام بأكمله.
يرتبط تقدم هذا العمل ارتباطًا وثيقًا بحادث أمان الشهادة الأخير. في أكتوبر من هذا العام، اكتشف الباحثون أن هناك مشكلات أمنية خطيرة في المفاتيح الخاصة لبعض سلطات الشهادات المتوسطة لشركة eMudhra، وهي مزود خدمة الشهادات الرقمية. وكان أحد المفاتيح الخاصة ضعيفًا جدًا لدرجة أنه كان يحمل الرقم "4" فقط. من الناحية النظرية، يمكن للمهاجم استغلال هذه الثغرة الأمنية لتزوير شهادة موقع ويب لإجراء هجوم رجل في الوسط أو انتحال الهوية.
بعد الحادث، قامت المتصفحات مثل Firefox وChrome بحظر الشهادات ذات الصلة بسرعة، ولكن لا تزال العديد من التطبيقات الشائعة بحاجة إلى الانتظار حتى يقوم نظام التشغيل بتحديث قائمة الشهادات قبل أن تتمكن من حمايتها. تعتقد شركة Canonical أن هذا يكشف عن سرعة الاستجابة غير الكافية لنظام Linux البيئي الحالي في آلية إبطال الشهادات.
تم تصميم Upki لحل هذا العيب. يعتمد المشروع على تقنية CRLite من Mozilla ويكمل عملية التحقق من خلال قاعدة بيانات إلغاء مدمجة متزامنة محليًا. ليست هناك حاجة لإرسال طلبات استعلام إضافية إلى المرجع المصدق عند زيارة الموقع. لذلك، لا يمكنها ضمان السرعة والخصوصية فحسب، بل يمكنها أيضًا تحديد الشهادات منتهية الصلاحية أو الملغاة في الوقت المناسب.
في Ubuntu 26.10، يستطيع النظام مزامنة أحدث بيانات الإلغاء بانتظام من خلال خدمات الخلفية، ويتم تحديثها كل ست ساعات افتراضيًا. بعد اكتمال المزامنة الأولى، يمكن للتطبيقات التي تدعم upki مثل curly التحقق تلقائيًا من حالة الشهادة لموقع الويب المستهدف ورفض الاتصال بالخوادم باستخدام الشهادات الملغاة.
ذكرت شركة Canonical أن النشر الحالي لـ upki في Ubuntu 26.10 هو مجرد خطوة أولى. في المستقبل، سيتم توسيع هذه التقنية تدريجيًا لتشمل نظام التشغيل بأكمله وستصبح جزءًا مهمًا من بناء Ubuntu للبنية التحتية لأمن الشبكة على مستوى المتصفح. مع وصول المزيد والمزيد من مكونات النظام إلى هذه الآلية، من المتوقع أن تشهد منصة Linux تحسينات كبيرة في التحقق من الشهادات، وسرعة الاستجابة للإلغاء، وأمن الشبكة بشكل عام.
مزيد من المعلومات:
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
التعليقات