Go lansează patch de urgență: 8 chei CA blocate din motive de securitate

De ce sunt blocate exact aceste 8 chei?

Go 1.27.3 și Go 1.26.10, lansate pe 20 octombrie, fac verificatorul de certificate al Go să respingă orice lanț de certificate care trece prin una dintre cele opt chei de autoritate de certificare intermediară. Programele construite pe noile versiuni vor refuza conexiunile către site-urile și serviciile ale căror certificate au fost emise sub aceste chei. Echipa Go spune că cheile aparțin autorităților vechi sau compromise.

Actualizarea țintește opt chei specifice de CA intermediară.

Acestea au fost marcate din cauza unor probleme de securitate nedivulgate. Verificatorul de certificate al Go blochează acum orice lanț care le include. Dezvoltorii care actualizează vor vedea eșecuri imediate de conexiune pentru serviciile afectate.

Schimbarea are caracter de urgență, semnalând o vulnerabilitate critică în calea de validare a certificatelor.

Ce trebuie să facă dezvoltorii acum?

Dezvoltorii ar trebui să actualizeze imediat la Go 1.27.3 sau Go 1.26.10.

După actualizare, testați toate conexiunile către API-uri externe. Orice serviciu care folosește o CA blocată va eșua la handshake-ul TLS. Monitorizați log-urile pentru erori de conexiune.

Pregăviți-vă pentru posibile întrerderi dacă o dependență critică folosește una dintre cele opt chei.

Afectează toate programele Go? Da.

De ce blochează Go 1.27.3 opt chei de certificare?

Orice aplicație Go care folosește verificatorul de certificate implicit este afectată. Lista de blocare este aplicată la nivel de runtime, deci toate conexiunile prin acele CA eșuează.

Pot suprascrie lista de blocare? Nu ușor. Lista este compilată în runtime. Suprascrierea necesită logică custom de verificare a certificatelor, ceea ce este complex și predispus la erori. Actualizarea este calea recomandată.

Va cauza aceasta întrerderi în scară largă?

Posibil. Serviciile care se bazează pe cele opt CA blocate vor vedea eșecuri de conexiune. Impactul depinde de câte sisteme de producție folosesc acele autorități intermediare specifice.