Swati Khandelwal 20 Eki 2026 Şifreleme / Yazılım Güvenliği
Go 1.27.3 ve Go 1.26.10, 20 Ekim'de yayınlandı. Bu sürümler Go'nun sertifika doğrulayıcısının sekiz ara sertifika otoritesi anahtarı üzerinden geçen herhangi bir sertifika zincirini reddetmesini sağlıyor.
Yeni sürümle derlenen programlar, sertifikaları söz konusu anahtarlar altında verilmiş olan sitelere ve hizmetlere bağlantıyı reddedecek. Go ekibi anahtarların adını vermediği bir sertifika otoritesine ait olduğunu söylüyor ve engellemenin "işletimleriyle ilgili belirli güvenlik endişeleri" nedeniyle yapıldığını belirtiyor.
Düzeltme en ciddi sorunlar için ayrılan URGENT izinde ele alındı ve ekip derhal yükseltme yapılmasını öneriyor.
İki gün önce, 17 Ekim'de Mozilla, Firefox'un sertifikaları engellemek için kullandığı OneCRL listesine eMudhra'nın emSign Root TLS CA - G3'ü altında verilen altı ara sertifika ekledi. Bu girdilerin arkasındaki Mozilla hatası halka kapalı ve ne Mozilla ne de Go eylemi tetikleyen şeyi açıkladı. Chrome, Apple veya Microsoft'un benzer bir adım atıp atmadığı net değil.
Go'nun değişikliği yalnızca sekiz anahtarın SHA-256 karmalarını listeliyor. Go sorunundaki bir yorumcu karmaları sertifika kayıtlarında arayarak hepsini eMudhra ara sertifikalarına eşledi.
O eşlemeye göre altı tanesi Mozilla'nın girdilerinin adını verdiği aynı emSign Root TLS CA - G3 altında verilen TLS ara sertifikaları, ikisi ise emSign Root CS CA - G3 altında kod imzalamaya yönelik ara sertifikalar:
TLS, alan doğrulamalı: EM DV TLS CA - G3B (eMudhra BV, Hollanda) ve EM DV TLS CA - G3C (eMudhra Inc, ABD)
TLS, kuruluş doğrulamalı: EM OV TLS CA - G3B ve EM OV TLS CA - G3C
TLS, genişletilmiş doğrulama: EM EV TLS CA - G3B ve EM EV TLS CA - G3C
Kod imzası: EM OV CS CA - G3B ve EM OV CS CA - G3C
The Hacker News karmaları sertifikalarla bağımsız olarak doğrulamadı. Mozilla'nın altı girdisi aynı kök veren otoriteyi taşıyor ancak Mozilla kayıtları altı sertifikayı adlandırmıyor.
Filtre bir Go programı sertifika zincirini doğruladığında çalışıyor. Sertifikanın kendisinin değil her sertifikanın genel anahtarının karmasını alıyor; böylece farklı bir kök tarafından imzalanmış aynı anahtarın çapraz imzalı kopyası da yakalanıyor.
Filtre Go'nun kendi doğrulayıcısında ve macOS ile Windows yollarında işletim sistemine doğrulamayı devreden kod parçalarında uygulanıyor. Reddedilen bir zincir x509: no valid chains built hatasını döndürüyor.
Değişiklikte filtreyi kapatacak bir ayar yok. Kodun yapısı nedeniyle program kendi güvenilen kökler kümesini sağlasa bile filtre uygulanıyor; böylece sekiz anahtardan birine kasıtlı olarak güvenen özel bir dağıtım da başarısız oluyor. Go ekibi bunun amaçlanıp amaçlanmadığını söylemedi.
Go'nun doğrulayıcısı belgelerin de uyardığı gibi "herhangi bir iptal kontrolü yapmaz". Ayrıca Chrome'un bu ay yasadışı Google sertifikalarına karşı kullandığı CRLSets gibi tarayıcıların kullandığı engelleme listelerini de okumuyor.
Bir anahtarı engellemek, bunun bir sürümde gönderilmesi anlamına geliyor ve programlar yeniden derlenene kadar eski davranışa devam ediyor. Bluesky'nin indigo'su da dahil projeler 20 Ekim'de yeni sürümler üzerinde yeniden derlendi.
Sertifika otoritesinde ne olduğu kamuoyuna açık değil. Go'nun duyurusu güvenlik endişeleri hakkında tek cümlelik bir açıklama içeriyor ve sürüm, Go'nun 8 Ekim güvenlik sürümleri öncesinde gönderdiği ön duyurunun yapılmadığı bir şekilde geldi.
Go'nun güvenlik politikası URGENT izindeki sorunları "Go ekosisteminin bütünlüğüne yönelik bir tehdit" veya ciddi hasarla aktif olarak istismar edilen kusurlar olarak tanımlıyor ve yakın örneklerin olmadığını söylüyor. Go hangisinin geçerli olduğunu belirtmedi.
Sorunda bir kullanıcı, "kime ve neye karşılık geldiklerini" açıklamak için taahhüt edilen yamayı sordu. 20 Ekim itibarıyla Go ekibi yanıt vermemişti.
eMudhra, emSign markası altında sertifika satan Hintli bir sertifika otoritesi. Kökleri emSign Root CA - G1 ve emSign ECC Root CA - G3, Chrome, Apple ve Mozilla kök depolarında bulunuyor. Şirket bu yıl başında Mozilla'ya daha yeni TLS kökünün emSign Root CA - G1 tarafından çapraz imzalandığını söyledi; bu sayede yeni kök altındaki sertifikalar güvenilen bir köke zincirleniyor.
Eylülde eMudhra'nın tarayıcı ve işletim sistemi üreticilerinin yürüttüğü kök programlarına emSign Root TLS CA - G3 de dahil olmak üzere on yeni kök ekleme talebine ilişkin altı haftalık kamuoyu tartışması itirazsız kapandı.
eMudhra'nın kendi alanları için kayıtlı sertifikalar, emsign.com ve emudhra.com da dahil, 20 Ekim'de The Hacker News'in kontrol ettiği sertifika şeffaflığı kayıtlarına göre diğer eMudhra ara sertifikaları üzerinden zincirleniyor. Şirketin deposunda o gün itibarıyla ara sertifikalarla ilgili bir duyuru yoktu ve The Hacker News eMudhra'dan kamuya açık bir açıklama bulamadı.
Go 1.25 ve daha eski sürümler destek dışı ve düzeltme almıyor; tek yol indirme sayfasından desteklenen bir sürüme geçmek. Herhangi bir kaynaktan geçici bir çözüm yok ve filtre devre dışı bırakılamıyor.
Sertifikaları sekiz anahtar üzerinden zincirlenen siteler ve hizmetler, yeniden derlenmiş Go istemcilerinin onlara bağlanabilmesi için farklı bir ara sertifikadan sertifika almaları gerekecek.
