Ubuntu 26.10 Bawa upki untuk Cek Sertifikat yang Dicabut

Pernahkah kamu bertanya, apa yang terjadi kalau sertifikat HTTPS sebuah server sudah dicabut tetapi curl di servermu tetap menerimanya? Selama ini jawabannya sederhana: koneksi tetap jalan. OpenSSL memeriksa rantai sertifikat, tetapi secara bawaan tidak mengecek apakah sertifikat itu sudah dicabut.

Ubuntu 26.10 mulai menutup celah itu. Lewat pengumuman di Ubuntu Discourse pada 10 November 2026, Canonical memperkenalkan dukungan awal upki, sehingga curl kini bisa menolak sertifikat yang sudah dicabut. Pengecekannya memakai data pencabutan yang disimpan lokal, jadi tidak ada panggilan jaringan tambahan setiap kali koneksi dibuat.

Apa itu upki dan kenapa baru sekarang?

upki adalah proyek dari pengembang rustls (pustaka TLS berbasis Rust). Ia memakai CRLite, teknik kompresi data pencabutan sertifikat dari Mozilla yang juga dipakai Firefox. Daftar sertifikat yang dicabut dikemas ringkas, diunduh berkala ke komputer, lalu dicek secara lokal. Karena tidak ada permintaan ke server luar per koneksi, pengecekannya cepat dan tidak membocorkan situs mana yang kamu akses.

Pemicunya cukup konkret. Menurut pengumuman resmi, pada 17 Oktober 2026 seorang peneliti menemukan bahwa kunci privat delapan sertifikat CA perantara milik eMudhra lemah secara kriptografis. Firefox dan Chrome memblokir sertifikat itu di hari yang sama. Aplikasi lain, termasuk alat baris perintah di server, baru ikut berhenti memercayainya setelah distribusi memperbarui paket ca-certificates.

Ada jeda waktu antara browser dan server, dan upki dirancang untuk memperpendek jeda itu.

Langkah mengaktifkan dan menguji upki di Ubuntu 26.10

Berikut langkah sesuai pengumuman resmi Canonical. Jalankan di server atau desktop Ubuntu 26.10 yang sudah diperbarui.

Langkah 1: Perbarui paket

Pastikan curl dan paket pendukungnya sudah versi terbaru dari repositori.

sudo apt update
sudo apt upgrade

Langkah 2: Pasang paket upki

Paket upki adalah dependensi yang direkomendasikan, jadi pada instalasi biasa ia ikut terpasang. Kalau sistemmu dipasang dengan --no-install-recommends (umum di image container atau server minimal), pasang secara manual.

sudo apt install upki

Langkah 3: Ambil data pencabutan pertama kali

Paket upki membawa timer systemd yang memperbarui data pencabutan setiap 6 jam di latar belakang. Sebelum pembaruan pertama selesai, curl berperilaku seperti sebelumnya. Supaya langsung aktif, jalankan pengambilan pertama secara manual.

sudo systemctl start upki-fetch.service

Langkah 4: Uji dengan situs yang sertifikatnya dicabut

Situs uji revoked.badssl.com sengaja memakai sertifikat yang dicabut.

curl https://revoked.badssl.com/

Bila upki bekerja, curl menolak dengan pesan seperti curl: (60) SSL certificate OpenSSL verify result: certificate revoked (23). Situs dengan sertifikat normal tetap bisa diakses seperti biasa.

Langkah 5: Cek status pencabutan secara manual

Pengumuman resmi juga memberi contoh untuk memeriksa sertifikat sebuah situs langsung lewat alat upki.

curl -sw '%{certs}' https://ubuntu.com -o /dev/null | upki revocation check

Apa saja yang belum dicakup?

Ini dukungan awal, dan cakupannya masih sempit. Per 11 November 2026, hanya curl yang memakai pengecekan upki di Ubuntu 26.10. Aplikasi lain yang memakai OpenSSL secara langsung, seperti bahasa pemrograman, agen pemantauan, atau klien basis data, belum otomatis mendapat pengecekan ini.

Untuk Ubuntu 27.04, tim Foundations berencana memasukkan upki ke OpenSSL milik Ubuntu. Bila rencana itu terwujud, lebih dari 1.000 paket yang memakai OpenSSL secara langsung akan ikut mendapat pengecekan pencabutan tanpa perlu diubah satu per satu.

Bagaimana dengan Ubuntu 26.04 LTS?

Ubuntu 26.10 adalah rilis interim dengan masa dukungan 9 bulan. Untuk server produksi, banyak tim tetap memilih rilis LTS. Pengumuman upki hanya menyebut Ubuntu 26.10, dan demonya justru menunjukkan curl di 26.04 masih menerima sertifikat yang dicabut. Jadi bila servermu di 26.04 LTS, anggap pengecekan pencabutan belum ada di curl. Bila kamu sedang menimbang versi, perbandingan rilis dan distro ada di memilih OS untuk VPS baru dan ulasan fitur baru Ubuntu 26.04 LTS.

Apa artinya bagi pengelola server?

Untuk sekarang, dampak praktisnya ada di skrip dan otomasi yang memakai curl, misalnya pemanggilan webhook, unduhan installer, atau pengecekan kesehatan layanan. Pada server 26.10, panggilan ke host dengan sertifikat dicabut tidak lagi diam-diam berhasil.

Perlu dibedakan juga antara sertifikat yang dicabut dan sertifikat yang tidak valid karena alasan lain, seperti kedaluwarsa atau nama domain tidak cocok. Penyebab umum error sertifikat dan cara mengatasinya dibahas di penyebab sertifikat SSL tidak valid. Sementara itu, pastikan servermu menerima pembaruan keamanan secara rutin, karena data pencabutan hanya membantu bila paket pendukungnya tetap terbarui. Caranya ada di mengaktifkan update keamanan otomatis di Ubuntu.

Checklist singkat setelah membaca:

• Server 26.10 sudah apt upgrade dan paket upki terpasang.
• upki-fetch.service sudah dijalankan sekali.
• curl https://revoked.badssl.com/ menghasilkan error 60.
• Skrip yang memakai curl sudah dipantau kegagalannya.