Ubuntu 26.10为curl增加证书吊销检查

本篇内容由龙8头号玩家整理：

为什么一张已经被签发方撤销的证书，还能让命令行工具照常建立HTTPS连接？

Ubuntu 26.

10（代号 Stonking Stingray）给出的答案是：给curl加上证书吊销检查。

这项改动于 11月10日 公布，把upki支持引入Ubuntu的curl软件包。

它被定位为在整个操作系统层面推进浏览器级证书检查的初步一步。

问题的根源在于检查链条的缺口。

curl借助OpenSSL验证证书链，但在Ubuntu描述的这一套配置里，该过程默认不检查吊销状态。

于是，即便签发方已经撤回信任，证书仍可能通过这些检查。

按照Ubuntu的说明，curl现在使用upki-openssl，把服务器证书与本地存储的吊销数据进行比对。

这套机制建立在Mozilla的CRLite技术之上，Firefox同样用它来识别被吊销的证书。

因为检查走的是本地数据，curl在每次连接时不需要额外发起网络请求。

检查因此保持快速，用户访问站点时也不会单独发出吊销查询。

后台下载仍在进行，用来让本地数据保持更新。

upki软件包是推荐依赖，内含一个systemd定时器，每 六小时 刷新一次吊销数据。

首次下载完成之前存在一个明确的限制：在数据可用之前，curl的行为与过去一致，不带新增的吊销保护。

Ubuntu用本地测试服务器和测试证书颁发机构演示了差异。

同一条curl命令在Ubuntu 26.

04 Resolute Raccoon上接受了被吊销的证书，在Ubuntu 26.

10上则被拒绝。

演示使用的是未经修改的Ubuntu curl、OpenSSL和upki软件包。

吊销机制的意义，是让证书签发方能在证书到期前撤回信任。

Ubuntu特别提到 10月17日 的一起事件，涉及八家eMudhra中间证书颁发机构的弱私钥。

按其描述，其中一个私钥就是数字四，这带来了攻击者为任意网站签发证书的风险。

Firefox和Chrome当天就封堵了这些中间证书，而许多其他应用只能等待发行版更新。

Ubuntu希望upki把这一差距在浏览器之外收窄。

它是对常规打补丁的补充，而非替代。

Ubuntu 26.

10用户可以用 sudo apt install upki 安装该软件包，再用 sudo systemctl start upki-fetch.

service 拉取初始数据。

此后运行 curl https://revoked.

badssl.

com/ 应当失败，返回curl错误60，并附带OpenSSL信息“certificate revoked (23)”。

未被吊销的证书则照常工作。

管理员应当追查证书失败的原因，而不是绕过验证。

curl文档强烈警告不要在生產环境使用 --insecure ，因为它会关闭对端验证。

面向Ubuntu 27.

04，Foundations团队计划把upki整合进OpenSSL的常规证书检查。

若如期交付，这一改动可能把吊销保护扩展到直接使用OpenSSL的 1000多个 软件包中的大多数，而无需在每个应用里单独改动。

这一更广的覆盖仍处于计划阶段，不属于本次curl的初始推送范围。

特别

龙8头号玩家将持续关注后续动态。