O Ubuntu 26.10 estreia o upki para revogação de certificados no curl. Veja como funciona, o caso eMudhra e os planos para o OpenSSL no Ubuntu 27.04.
O Ubuntu 26.10 Stonking Stingray começou a distribuir um recurso que passou quase despercebido, mas que representa uma mudança estrutural na segurança de transporte do Linux: a verificação de revogação de certificados com o upki no pacote curl.
A Canonical está construindo uma infraestrutura de verificação de certificados no nível do sistema operacional, com o objetivo de oferecer algo próximo ao que os navegadores já fazem há anos.
Este artigo explica o que mudou, por que o caso eMudhra acelerou essa agenda, como o upki funciona na prática e o que esperar do Ubuntu 27.04.
O que é o upki e por que ele importa
O upki é um projeto do ecossistema Rustls que fornece infraestrutura de PKI (Public Key Infrastructure) escrita em Rust. Ele se integra ao OpenSSL e ao Rustls, além de expor uma C-FFI para uso em C, C++, Go e outras linguagens.
O objetivo é levar a verificação de revogação de certificados — algo comum em navegadores — para ferramentas de linha de comando, gerenciadores de pacotes, runtimes e outros componentes do sistema operacional.
Tradicionalmente, o OpenSSL verifica a cadeia de certificados, mas não consulta, por padrão, se um certificado foi revogado antes do vencimento. Isso significa que ferramentas que dependem do OpenSSL podem continuar confiando em certificados que o Firefox e o Chrome já bloquearam. O upki preenche essa lacuna.
O upki usa a tecnologia CRLite, da Mozilla, para comprimir os dados de revogação em filtros locais. O cliente consulta esses dados offline, sem fazer requisições de rede por conexão.
Isso torna a verificação rápida e preserva a privacidade, pois nenhum servidor externo vê quais sites estão sendo acessados. O pacote upki inclui um timer do systemd que atualiza os dados a cada seis horas; até a primeira atualização, o curl se comporta como antes.
O que mudou no Ubuntu 26.10
No Ubuntu 26.10, o curl passou a usar o upki-openssl para verificar o certificado do servidor contra um conjunto local de certificados revogados. A demonstração oficial mostrou a diferença: o mesmo comando curl aceitou um certificado revogado no Ubuntu 26.04, mas foi recusado no 26.10.
Para testar, o usuário pode instalar o pacote e iniciar a primeira coleta:
sudo apt install upki sudo systemctl start upki-fetch.service curl https://revoked.badssl.com/
O resultado é um erro curl: (60) SSL certificate OpenSSL verify result: certificate revoked (23). Para inspecionar o status de revogação de qualquer site, o comando é:
curl -sw '%{certs}' https://ubuntu.com -o /dev/null | upki revocation check
É importante notar que, no 26.10, essa proteção está limitada ao curl. Outros aplicativos que usam OpenSSL no sistema ainda não recebem a verificação automaticamente.
Produto Recomendado
Você já percebeu que a maioria das pessoas só conversa com o ChatGPT... enquanto uma minoria está criando agentes de IA que executam tarefas, tomam decisões e geram receita sozinhos?
O livro "Construindo Aplicações com Agentes de IA: Projeto e Implementação de Sistemas Multiagentes" é o seu mapa prático — do zero à arquitetura profissional.
✅ Projeto e implementação passo a passo
✅ Sistemas multiagentes que colaboram entre si
✅ Aplicações reais para negócios e automação
✅ Linguagem acessível, com rigor técnico
💡 Não é teoria. É engenharia aplicada.
Eu ganho uma comissão quando você faz uma compra.
O caso eMudhra: por que a revogação urgente importa
Em outubro de 2026, um pesquisador descobriu que as chaves privadas de oito certificados de CA intermediária da eMudhra eram criptograficamente fracas. Uma das chaves era simplesmente o número 4. Com uma chave desse tipo, qualquer pessoa poderia emitir certificados válidos para qualquer site.
O Firefox e o Chrome bloquearam os oito certificados no mesmo dia. A maioria dos outros aplicativos, no entanto, continuou confiando neles até que as distribuições atualizassem seus pacotes ca-certificates.
Esse intervalo entre o bloqueio nos navegadores e a atualização do restante do sistema é exatamente o tipo de lacuna que o upki pretende fechar.
A Canonical deixou claro que a necessidade de uma revogação rápida em toda a pilha do sistema operacional foi um dos motivadores para acelerar o upki.
O futuro: OpenSSL no Ubuntu 27.04
Para o Ubuntu 27.04, a equipe de Foundations planeja integrar o upki ao pacote OpenSSL do sistema.
Com isso, a verificação de revogação passaria a fazer parte do processo normal de validação de certificados do OpenSSL, alcançando mais de mil pacotes que o utilizam diretamente, sem necessidade de alteração no código de cada aplicação.
Essa é uma mudança de escala: em vez de proteger apenas o curl, o upki se tornaria parte da base de segurança de transporte de grande parte do ecossistema Ubuntu.
Checklist rápido para administradores
□ Verifique se o sistema é Ubuntu 26.10 ou superior.
□ Confirme se o pacote upki está instalado: dpkg -l | grep upki.
□ Se necessário, instale com sudo apt install upki.
□ Inicie a primeira coleta de dados: sudo systemctl start upki-fetch.service.
□ Teste a rejeição de um certificado revogado com curl https://revoked.badssl.com/.
□ Monitore o timer do systemd para garantir que as atualizações de seis horas estejam ocorrendo.
□ Para o Ubuntu 27.04, planeje a validação do upki no OpenSSL e revise dependências que possam ser afetadas.
Conclusão
O upki no Ubuntu 26.10 é um primeiro passo concreto para eliminar uma lacuna histórica: a verificação de revogação de certificados fora dos navegadores. Ao usar dados locais no estilo CRLite, o upki oferece uma verificação rápida e que preserva a privacidade.
O caso eMudhra mostrou por que isso é urgente.
Com a integração planejada ao OpenSSL no Ubuntu 27.04, a Canonical pode transformar o upki em parte da base de segurança de todo o ecossistema, e não apenas de um comando isolado.
Para os administradores e desenvolvedores, acompanhar essa transição e testar o upki desde já é uma forma de se preparar para um Linux com verificação de certificados de nível de navegador.
Nenhum comentário:
Postar um comentário