Ubuntu 26.10 Stonking Stingray añade comprobaciones de revocación de certificados a curl, ayudando a que la herramienta de línea de comandos rechace las conexiones HTTPS que utilizan certificados revocados.

Anunciado el 10 de noviembre, el cambio introduce el soporte de upki en el paquete curl de Ubuntu. Esto marca un primer paso hacia comprobaciones de certificados de nivel de navegador en todo el sistema operativo.

La protección cierra una brecha en la forma en que las aplicaciones verifican los certificados de los sitios web. Curl utiliza OpenSSL para verificar las cadenas de certificados, pero ese proceso no comprueba la revocación por defecto en la configuración descrita por Ubuntu. Por lo tanto, un certificado podría pasar esas comprobaciones incluso después de que su emisor lo hubiera retirado.

Según el anuncio de Ubuntu, curl ahora utiliza upki-openssl para contrastar los certificados del servidor con datos de revocación almacenados localmente. El sistema se basa en la tecnología CRLite de Mozilla, que Firefox también utiliza para identificar certificados revocados.

Debido a que la comprobación utiliza datos locales, curl no necesita una solicitud de red adicional durante cada conexión. Esto mantiene las comprobaciones rápidas y evita enviar una consulta de revocación separada cuando visitas un sitio. Las descargas en segundo plano siguen ocurriendo para mantener actualizados esos datos locales.

El paquete upki es una dependencia recomendada e incluye un temporizador de systemd que actualiza los datos de revocación cada seis horas. Permanece una limitación importante antes de la primera descarga. Hasta que los datos estén disponibles, curl continúa funcionando como lo hacía antes, sin la protección de revocación añadida.

Ubuntu 26.10 Añade Protección a curl

Ubuntu demostró la diferencia utilizando un servidor de pruebas local y una autoridad de certificación de prueba. El mismo comando curl aceptó un certificado revocado en Ubuntu 26.04 Resolute Raccoon, mientras que Ubuntu 26.10 lo rechazó. La demostración utilizó paquetes de Ubuntu no modificados para curl, OpenSSL y upki.

La revocación permite que los emisores de certificados retiren la confianza antes de que un certificado expire. Ubuntu destacó un incidente del 17 de octubre relacionado con claves privadas débiles para ocho autoridades de certificación intermedias de eMudhra.

Según su relato, una clave privada era simplemente el número cuatro, creando el riesgo de que los atacantes pudieran emitir certificados para sitios web arbitrarios. Firefox y Chrome bloquearon esos certificados intermedios el mismo día, mientras que muchas otras aplicaciones tuvieron que esperar a las actualizaciones de distribución.

Ubuntu quiere que upki reduzca esa brecha fuera de los navegadores. Esto complementa, en lugar de reemplazar, el parcheo regular, incluyendo las correcciones cubiertas en los informes sobre actualizaciones de seguridad de curl y vulnerabilidades de OpenSSL.

Si eres usuario de Ubuntu 26.10, puedes instalar el paquete con sudo apt install upki, y luego obtener los datos iniciales usando sudo systemctl start upki-fetch.service. Ejecutar curl https://revoked.badssl.com/ debería entonces fallar con el error de curl 60 y un mensaje de OpenSSL indicando “certificate revoked (23)”. Los certificados no revocados seguirán funcionando normalmente.

Como administrador, debes investigar los fallos de certificado en lugar de omitir la verificación. La documentación de curl advierte encarecidamente contra el uso de --insecure en producción porque desactiva la verificación de pares.

Para Ubuntu 27.04, el equipo de Foundations planea integrar upki en las comprobaciones normales de certificados de OpenSSL. De implementarse, ese cambio podría extender la protección de revocación a la mayoría de los más de 1.000 paquetes que utilizan OpenSSL directamente, sin requerir cambios separados en cada aplicación. Esa cobertura más amplia sigue estando planeada, no forma parte de este despliegue inicial de curl.