요약:
Canonical은 Ubuntu 운영 체제에 대한 주요 보안 인프라 업그레이드를 진행하고 있습니다. 올해 10월 우분투 26.10이 공식 출시되면서 그동안 주목받지 못했던 새로운 기능, 즉 upki 프로젝트 기반의 인증서 해지 검증 지원이 본격적으로 탑재되기 시작했다. 이 기술은 전체 Linux 시스템에 최신 브라우저 수준에 가까운 인증서 확인 및 보안 보호 기능을 제공하는 것을 목표로 합니다.
Canonical은 브라우저에서 오랫동안 사용해 온 높은 표준 인증서 확인 메커니즘을 전체 운영 체제 스택으로 확장하기 위해 노력하고 있습니다. 이 목표를 달성하기 위해 회사는 Rustls 생태계에서 upki 프로젝트를 선택했습니다. 이 프로젝트는 Rust 언어를 사용하여 개발되었으며 Mozilla가 수년간 축적한 인증서 보안 기술을 기반으로 합니다. 공개적으로 신뢰받는 인증기관에서 발급한 디지털 인증서가 폐기되었는지 확인할 수 있습니다.
현재 upki는 OpenSSL 및 Rustls와 같은 주류 보안 구성 요소와 통합할 수 있으며 다양한 소프트웨어 및 개발 환경에 대한 액세스를 용이하게 하기 위해 C 언어 호환 인터페이스도 제공합니다. 이는 앞으로 브라우저뿐만 아니라 시스템 명령 도구, 패키지 관리자 및 기타 네트워크 응용 프로그램도 통합된 인증서 해지 확인 기능을 공유할 수 있음을 의미합니다.
캐노니컬은 당초 우분투 26.10에서 upki 지원을 기본으로 활성화할 계획이었지만 올해 9월까지 프로젝트가 최종 안정화되지 않았기 때문에 이번 릴리스에서는 컬 패키지에만 적용됐다. 즉, Ubuntu 26.10의 컬 도구는 기존 인증서 체인 확인 메커니즘에만 의존하기보다는 추가적인 인증서 해지 확인을 위해 upki를 활용하기 시작했습니다.
Canonical이 공개한 개발 로드맵에 따르면 개발팀은 Ubuntu 27.04에서 배포 범위를 더욱 확장하고 upki를 OpenSSL 소프트웨어 패키지에 통합할 계획입니다. 그때쯤이면 보안 통신을 위해 OpenSSL을 사용하는 더 많은 소프트웨어가 인증서 해지 확인 기능을 자동으로 획득하여 전체 시스템에 도움이 될 것입니다.
이 작업의 발전은 최근 발생한 인증서 보안 사고와 밀접한 관련이 있습니다. 올해 10월 연구원들은 디지털 인증서 서비스 제공업체인 eMudhra의 일부 중간 인증 기관의 개인 키에 심각한 보안 문제가 있음을 발견했습니다. 개인 키 중 하나는 너무 약해서 숫자 "4"밖에 없었습니다. 이론적으로 공격자는 이러한 취약점을 악용하여 웹 사이트 인증서를 위조하여 중간자 공격이나 신원 가장을 수행할 수 있습니다.
사건 이후 Firefox 및 Chrome과 같은 브라우저는 관련 인증서를 신속하게 차단했지만, 많은 일반 애플리케이션은 여전히 운영 체제가 인증서 목록을 업데이트할 때까지 기다려야 보호할 수 있습니다. Canonical은 이것이 인증서 해지 메커니즘에서 현재 Linux 생태계의 응답 속도가 부족하다는 것을 노출한다고 믿습니다.
Upki는 이러한 단점을 해결하기 위해 설계되었습니다. 이 프로젝트는 Mozilla의 CRLite 기술을 기반으로 하며 로컬로 동기화된 컴팩트 폐기 데이터베이스를 통해 검증을 완료합니다. 웹 사이트 방문 시 인증 기관에 추가 쿼리 요청을 보낼 필요가 없습니다. 따라서 속도와 개인 정보 보호를 보장할 수 있을 뿐만 아니라 만료되거나 해지된 인증서를 적시에 식별할 수도 있습니다.
Ubuntu 26.10에서는 시스템이 백그라운드 서비스를 통해 정기적으로 최신 해지 데이터를 동기화할 수 있으며 기본적으로 6시간마다 업데이트됩니다. 첫 번째 동기화가 완료된 후, 컬과 같은 upki 지원 애플리케이션은 자동으로 대상 웹사이트의 인증서 상태를 확인하고 해지된 인증서를 사용하는 서버에 대한 연결을 거부할 수 있습니다.
Canonical은 현재 Ubuntu 26.10에서 upki를 배포하는 것은 첫 번째 단계일 뿐이라고 밝혔습니다. 앞으로 이 기술은 점차 전체 운영 체제로 확장되어 Ubuntu의 브라우저 수준 네트워크 보안 인프라 구축의 중요한 부분이 될 것입니다. 점점 더 많은 시스템 구성 요소가 이 메커니즘에 액세스함에 따라 Linux 플랫폼은 인증서 확인, 해지 응답 속도 및 전반적인 네트워크 보안이 크게 향상될 것으로 예상됩니다.
자세히 알아보기:
https://discourse.ubuntu.com/t/introducing-initial-upki-support/91540
댓글