Go ekibi, yeni sürümde sertifika zincirine ilişkin acil bir güvenlik güncellemesi yayımladı. Bu sürümle derlenen programlar, sertifikaları bu anahtarlarla düzenlenmiş site ve servislerle bağlantı kurmayı reddedecek. Etkilenen taraf, kimliği açıklanmayan tek bir sertifika otoritesine ait sekiz CA anahtarı.
Yeni sürüm neyi değiştirdi?
Değişiklik, Go ekosisteminde geliştirilen uygulamaların güven ilişkisini doğrudan etkiliyor. Yeni sürüm yüklendiğinde çalışan programlar, bu anahtarlarla imzalanmış sertifikaları kullanan uç noktalara bağlanmayacak. Böylece Go ekibi, güven problemi taşıdığı düşünülen sertifika zincirlerini istemci tarafında geçersiz kılıyor.
Ekip, bu anahtarların ait olduğu sertifika otoritesinin adını kamuya açıklamadı. Açıklanan bilgiye göre karar, güvenlik kaygıları nedeniyle alınan bir acil müdahale niteliği taşıyor.
Kimler etkileniyor?
Go ile yazılmış uygulamaları dağıtan geliştiriciler ve bu uygulamalara bağlanan servisler ilk sırada yer alıyor. Özellikle TLS üzerinden doğrulama yapan istemci uygulamalarında, güncelleme sonrasında bağlantı reddi görülebilir. Bu durum, sertifika otoritesi tarafından düzenlenmiş mevcut sertifikalara güvenen sistemleri doğrudan ilgilendiriyor.
Go’nun aldığı bu adım, uygulama derleme zincirine güvenlik katmanını taşıyan taraflı bir önlem olarak öne çıkıyor. Programın yeni sürümü, riskli görülen kök ya da ara CA anahtarlarına dayanan sertifikaları kabul etmiyor.
Teknik etkisi nasıl ortaya çıkıyor?
Uygulama tarafında sonuç basit: bağlantı denemesi başarısız oluyor. Ancak bunun arka planında, sertifika doğrulamasının Go çalışma zamanı ve standart güven zinciri tarafından artık bu anahtarlar için kabul edilmemesi var. Bu nedenle hizmet erişimi, uygulamanın kendisi güncellenmese bile kullanılan Go sürümüne bağlı olarak değişebiliyor.
Go ekibi, güncellemenin nedenini ayrıntılandırmadan, sekiz CA anahtarını kapsayan bu kararı duyurdu. Açıklamada yalnızca, anahtarların ait olduğu sertifika otoritesinin kimliğinin paylaşılmadığı bilgisi yer aldı.