O Ubuntu 26.10 Stonking Stingray introduziu a verificação nativa de certificados revogados no comando curl. A novidade utiliza a infraestrutura do upki, aproximando o sistema operacional do nível de validação de segurança já adotado por navegadores web. Até o lançamento anterior, o comportamento padrão do pacote aceitava conexões mesmo quando o certificado do servidor já havia sido invalidado.
O curl depende do OpenSSL para validar a cadeia de certificados. O problema histórico dessa abordagem é que o OpenSSL, por padrão, não verifica se um certificado específico foi revogado após sua emissão. No Ubuntu 26.10, a integração foi resolvida com a adição do pacote upki-openssl, que cruza os dados do certificado do servidor com uma lista local de revogações.
Consulta local elimina latência e preserva privacidade
A implementação técnica escolhida pela equipe do Ubuntu evita consultas externas no momento da conexão. Quando o usuário executa o curl, a validação ocorre inteiramente contra um banco de dados local, construído a partir das ferramentas CRLite da Mozilla.
Como não há chamadas de rede adicionais para checar a validade do certificado, o processo não sofre impacto de latência e impede que terceiros rastreiem quais domínios a máquina está acessando.
Para manter a lista atualizada sem intervenção do usuário, o pacote upki (configurado como uma dependência recomendada) instala um timer no systemd. Esse serviço roda em segundo plano e baixa as novas listas de revogação a cada seis horas. Antes da primeira sincronização pelo serviço upki-fetch.service, o curl opera com o comportamento legado.
O impacto prático na revogação de chaves comprometidas
A utilidade de um sistema de revogação ágil no nível do sistema operacional ficou evidente em outubro de 2026. Um pesquisador identificou que as chaves privadas de oito certificados intermediários da autoridade certificadora eMudhra eram criptograficamente fracas (uma das chaves privadas era literalmente o número 4). Com uma chave dessa fragilidade, um invasor poderia forjar certificados válidos para qualquer site.
Navegadores como Firefox e Chrome bloquearam esses certificados no mesmo dia. No entanto, a maioria das aplicações de linha de comando e serviços de backend no Linux precisou aguardar que as distribuições empacotassem, testassem e distribuíssem atualizações completas do pacote ca-certificates. A adoção do upki resolve essa defasagem, permitindo que o sistema operacional invalide chaves comprometidas no mesmo ritmo dos navegadores, sem depender de atualizações completas de pacotes do sistema.
Expansão para o OpenSSL no Ubuntu 27.04
O suporte no curl representa apenas a primeira etapa do projeto. Para o Ubuntu 27.04, a equipe Foundations planeja integrar o upki diretamente no pacote OpenSSL distribuído pelo sistema.
Se a implementação for bem-sucedida, a verificação de certificados revogados deixará de ser uma exclusividade do curl. Como o OpenSSL é uma biblioteca base para conexões seguras, a mudança aplicará a checagem automática a mais de 1.000 pacotes de software presentes nos repositórios do Ubuntu, sem que os desenvolvedores desses pacotes precisem alterar seus códigos individualmente.
