Go заблокировал восемь ключей удостоверяющего центра в новых версиях
Изображение: OpenAI
Разработчики Go выпустили версии 1.27.3 и 1.26.10 с блокировкой восьми ключей промежуточных удостоверяющих центров из-за опасений по поводу безопасности их использования. Обновления вышли 20 октября; собранные на них программы отклоняют цепочки сертификатов с этими ключами.
Блокировку нельзя отключить. Как следует из кода изменения, разобранного The Hacker News, она действует и с собственным набором доверенных корней; команда Go не пояснила, намеренно ли это. Фильтр работает в Go и при проверке средствами macOS и Windows. Он сверяет хеши открытых ключей, поэтому подпись того же ключа другим корневым центром не позволит пройти проверку.
Команда Go не назвала удостоверяющий центр и не раскрыла суть опасений. Комментатор задачи в трекере Go сопоставил хеши с ключами индийского удостоверяющего центра eMudhra; издание независимо это не проверяло. По этому сопоставлению шесть ключей принадлежат TLS-сертификатам под корневым emSign Root TLS CA — G3, а два принадлежат сертификатам подписи кода под emSign Root CS CA — G3:
- TLS: EM DV TLS CA — G3B и EM DV TLS CA — G3C;
- TLS: EM OV TLS CA — G3B и EM OV TLS CA — G3C;
- TLS: EM EV TLS CA — G3B и EM EV TLS CA — G3C;
- подпись кода: EM OV CS CA — G3B и EM OV CS CA — G3C.
17 октября Mozilla внесла шесть промежуточных сертификатов, выпущенных тем же emSign Root TLS CA — G3, в список блокировки Firefox. Причина неизвестна, записи Mozilla не называют сами сертификаты, а принимали ли похожие меры Chrome, Apple и Microsoft, не установлено.
Команда Go провела исправление по ускоренной процедуре URGENT, которая предназначена для самых серьёзных проблем, и рекомендует немедленно обновиться. Приложения нужно пересобрать: до этого они сохранят прежнее поведение. Go 1.25 и более ранние версии уже не поддерживаются и исправлений не получат. Сервисам с затронутыми сертификатами придётся получить сертификаты от другого промежуточного центра, чтобы обновлённые Go-клиенты могли к ним подключаться.
