Ubuntu 26.10 renforce la sécurité du démarrage et achève sa transition vers les utilitaires Rust

Canonical a annoncé le lancement d'Ubuntu 26.10 « Stonking Stingray », axé sur la réduction de la surface d'attaque à l'échelle du système d'exploitation et sur la sécurité de la mémoire. Reposant sur le noyau Linux 7.3, cette version simplifie le parcours de démarrage de GRUB, achève la transition des utilitaires de base par défaut vers Rust, met à jour la cryptographie du système et introduit la reconnaissance vocale locale isolée en bac à sable. Prise en charge jusqu'en juillet 2027, Ubuntu 26.10 sert de banc de test intermédiaire pour les fonctionnalités destinées à Ubuntu 28.04 LTS.

Réduction de la surface de démarrage et chiffrement étendu

Afin de protéger la séquence Secure Boot, Canonical a retiré des versions signées de GRUB les analyseurs de systèmes de fichiers, les décodeurs d'images et les gestionnaires de tables de partitions superflus. Sous Secure Boot, les dispositions de /boot reposant sur LVM, le RAID logiciel non-RAID1, LUKS, Btrfs, HFS+, XFS ou ZFS ne sont plus prises en charge, bien que ces technologies restent entièrement fonctionnelles au sein du système d'exploitation en cours d'exécution et lorsque Secure Boot est désactivé.

Ubuntu 26.10 étend également le chiffrement intégral du disque reposant sur le TPM aux équipements dépourvus de racine de confiance matérielle intégrée. Ces systèmes nécessitent l'attribution d'un code PIN ou d'une phrase de passe lors de l'installation pour parer aux manipulations du micrologiciel, tandis que les machines dotées d'une racine de confiance matérielle continuent de se déverrouiller automatiquement.

Migration des utilitaires de base vers Rust et nouveau bus de messages

Dans la continuité des évolutions introduites par Ubuntu 26.04 LTS, Ubuntu 26.10 parachève la transition des utilitaires de base par défaut vers la suite uutils développée en Rust en migrant cp, mv et rm. Le remplacement des implémentations GNU historiques par du code Rust sûr du point de vue de la mémoire permet de réduire les vulnérabilités de corruption mémoire, à l'instar des accès post-libération (use-after-free) et des dépassements de limites.

Cette mise à jour remplace également dbus-daemon par dbus-broker comme bus de messages par défaut lors des nouvelles installations et des mises à niveau, tout en préservant la médiation AppArmor. En outre, Canonical a ajouté ntpd-rs, un démon horaire NTP sûr pour la mémoire, au dépôt d'archives afin d'être testé avant son adoption par défaut prévue dans Ubuntu 27.04.

Cryptographie post-quantique et traitement local

Ubuntu 26.10 adopte OpenSSL 4.0 et OpenSSH 10.5, élargissant ainsi ses capacités en matière de cryptographie post-quantique. OpenSSL 4.0 prend en charge des algorithmes tels que ML-KEM, ML-DSA et SLH-DSA, privilégie par défaut l'échange de clés hybride post-quantique en TLS, et intègre la prise en charge d'Encrypted Client Hello (ECH). La mouture introduit aussi upki, un mécanisme de révocation de certificats au niveau du système intégré avec curl via l'utilisation de données CRLite mises en cache.

Côté bureautique, Ubuntu 26.10 présente Myna, un outil de dictée sur l'appareil qui exécute la reconnaissance vocale dans un snap d'inférence isolé. Le traitement audio s'effectue localement en mémoire et les données sont effacées après usage, évitant l'envoi de voix vers des serveurs externes. Pour l'administration en entreprise, authd intègre la prise en charge des mots de passe et de l'authentification multifacteur Microsoft, tandis que NetworkManager prend désormais en charge l'authentification par carte à puce PKCS#11 pour les connexions VPN.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: What’s new in security for Ubuntu 26.10?