Përditësimi i certificate në Go bllokon tetë intermediate CA keys
Përditësimi i certificate në Go 1.27.3 dhe Go 1.26.10 bën që software të refuzojë lidhjet kur një certificate chain kalon përmes cilitdo prej tetë key të bllokuara të një intermediate certificate authority. Një certificate authority (CA) është një organizatë e besuar për të lëshuar digital certificate që ndihmojnë software të konfirmojë identitetin e një faqeje ose shërbimi. Të dy versionet e Go u publikuan më 20 tetor dhe ekipi i Go rekomandon përditësimin e menjëhershëm.
Ndryshimi prek programet e ndërtuara me versionet e reja. Kur një prej këtyre programeve lidhet me një faqe ose shërbim online, certificate verifier i Go kontrollon certificate chain që lidh atë destinacion me një autoritet të besuar. Nëse path përfshin një prej key të bllokuara, verifikimi dështon dhe programi kthen gabimin “x509: no valid chains built.” Si rrjedhojë, faqet që përdorin certificate të lëshuara nën këto key do të bëhen të paarritshme nga Go clients të rindërtuar derisa të sigurojnë certificate nga një intermediate authority tjetër.
Go nuk e ka bërë publik emrin e CA që qëndron pas key. Njoftimi i tij u referohet vetëm shqetësimeve specifike të sigurisë që lidhen me funksionimin e tyre. Përditësimi u trajtua përmes procesit URGENT të Go, të cilin politika e tij e sigurisë e rezervon për kërcënime ndaj integritetit të ekosistemit Go ose për vulnerabilities që po shfrytëzohen aktivisht dhe kanë pasoja të rënda. Projekti thotë se nuk ka shembuj të kohëve të fundit të problemeve që kanë marrë këtë klasifikim, por nuk ka zbuluar se cili kusht zbatohej në këtë rast ose çfarë ndodhi te CA. Release u publikua gjithashtu pa njoftimin paraprak që u bë përpara security releases të Go më 8 tetor.
Përditësimi i identifikon key e bllokuara vetëm përmes SHA-256 hashes të tyre, të cilat janë fingerprint dixhitale të llogaritura nga public keys përkatëse. Një komentues në Go issue përputhi të tetë hashes me intermediate të eMudhra duke përdorur të dhëna publike të certificate. The Hacker News tha se nuk e kishte konfirmuar në mënyrë të pavarur këtë përputhje. Bazuar në gjetjet e komentuesit, gjashtë janë intermediate të Transport Layer Security (TLS), të përdorura për të siguruar lidhjet me faqet dhe shërbimet, nën emSign Root TLS CA - G3. Ato janë EM DV TLS CA - G3B dhe EM DV TLS CA - G3C për domain-validated certificate, EM OV TLS CA - G3B dhe EM OV TLS CA - G3C për organisation-validated certificate, si edhe EM EV TLS CA - G3B dhe EM EV TLS CA - G3C për extended-validation certificate. Dy të tjerat, EM OV CS CA - G3B dhe EM OV CS CA - G3C, janë code-signing intermediate nën emSign Root CS CA - G3.
Mozilla kishte shtuar më 17 tetor në OneCRL gjashtë intermediate certificate të lëshuara nga emSign Root TLS CA - G3 e eMudhra. OneCRL është një block list që përdoret nga Firefox për të refuzuar certificate. Mozilla bug përkatës nuk është i aksesueshëm publikisht dhe Mozilla nuk ka deklaruar pse u shtuan këto certificate. Regjistrimet e Mozilla identifikojnë të njëjtin issuing root, por nuk i emërtojnë vetë gjashtë certificate. Nuk është përcaktuar nëse Chrome, Apple ose Microsoft kanë ndërmarrë veprime të ngjashme.
Filter i Go llogarit një fingerprint nga public key i çdo certificate dhe jo nga certificate i plotë. Kjo do të thotë se ai kap gjithashtu një cross-signed certificate që përmban të njëjtin key, por është autorizuar përmes një root tjetër. Kontrolli funksionon në certificate verifier të vetë Go, si edhe në paths të macOS dhe Windows ku Go ia delegon verifikimin operating system. Duket se zbatohet edhe kur një application ofron trusted roots të veta, duke përfshirë private environments që i besojnë qëllimisht njërit prej key. Go nuk ka thënë nëse bllokimi i këtyre konfigurimeve private ishte i qëllimshëm dhe përditësimi nuk ofron asnjë mundësi për ta çaktivizuar filter.
Ky dallim ka rëndësi sepse dokumentacioni i Go deklaron se verifier i tij nuk kryen revocation checking, procesi që përdoret për të përcaktuar nëse një certificate është tërhequr përpara se t’i përfundojë afati. Ai gjithashtu nuk përdor sisteme bllokimi të mirëmbajtura nga browser, si CRLSets që Chrome përdori këtë muaj kundër rogue certificate të Google. Në vend të kësaj, Go duhet t’i shpërndajë key e bllokuara përmes një software release. Applications ekzistuese ruajnë sjelljen e tyre të mëparshme derisa developers t’i rindërtojnë me një version të përditësuar të Go. Projects, duke përfshirë indigo të Bluesky, u rindërtuan me versionet e reja më 20 tetor.
eMudhra është një CA indiane që shet certificate nën brand-in emSign. emSign Root CA - G1 dhe emSign ECC Root CA - G3 të saj janë të pranishme në root stores të Chrome, Apple dhe Mozilla. Kompania i kishte thënë më parë Mozilla se TLS root më i ri është cross-signed nga emSign Root CA - G1, duke u lejuar certificate nën atë root më të ri të lidhen me një root që është tashmë i besuar. Një diskutim publik gjashtëjavor për shtimin e dhjetë roots të reja të eMudhra në root programs të browser dhe operating system, duke përfshirë emSign Root TLS CA - G3, përfundoi në shtator pa kundërshtime.
Certificate transparency records të kontrolluara nga The Hacker News më 20 tetor treguan se certificate për domain-et e vetë eMudhra, duke përfshirë emsign.com dhe emudhra.com, përdornin intermediate të tjera të eMudhra. Certificate repository i kompanisë nuk kishte atë ditë asnjë njoftim për intermediate e bllokuara dhe The Hacker News nuk gjeti asnjë deklaratë publike nga eMudhra. Një përdorues i kërkoi gjithashtu ekipit të Go të shpjegonte se cilat organizata dhe certificate përkonin me block e shtuar në kod, por ekipi nuk ishte përgjigjur deri më 20 tetor.
Administrators duhet të përditësojnë branches të mbështetura të Go dhe të rindërtojnë applications e prekura, më pas të hetojnë çdo dështim të certificate chain që rezulton. Go 1.25 dhe versionet më të vjetra nuk mbështeten dhe nuk do ta marrin këtë fix, ndaj përdoruesit e këtyre branches duhet të kalojnë në një release të mbështetur nga faqja e download e Go. Nuk ka asnjë workaround të përkohshëm të dokumentuar dhe faqet, certificate e të cilave kalojnë përmes key të bllokuara, kanë nevojë për një zëvendësim të lëshuar përmes një intermediate tjetër. Për organizatat që po shqyrtojnë applications dhe certificate paths të prekura, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi.