Go, Açıklanmayan Güvenlik Endişeleri Üstüne Sekiz CA Anahtarını Engelleme İçin Acil Güncelleme Yayınladı.

Gorsel Kaynagi: The Hacker News

20 Ekim’de yayımlanan Go 1.27.3 ve Go 1.26.10 sürümleri, sekiz ara sertifika otoritesi anahtarından biri üzerinden geçen her sertifika zincirini Go’nu sertifika doğrulayıcısının reddetmesini sağlıyor.

Yeni sürüm üzerine derlenen programlar, sertifikaları bu anahtarlar altında verilmiş sitelere ve hizmetlere yapılan bağlantıları reddedecek. Go ekibi, bu anahtarların kendisinin ismini belirtmediği bir sertifika otoritesine ait olduğunu ve bunları “işleyişleriyle ilgili belirli güvenlik endişeleri” nedeniyle engellediğini söylüyor.

Düzeltmeyi, en ciddi sorunlar için ayrılan acil (URGENT) yolunda halletmiş ve derhal güncellenmesi tavsiye edilmiş.

İki gün önce, 17 Ekim’de Mozilla, eMudhra’ya ait emSign Root TLS CA – G3 tarafından verilmiş altı ara sertifikayı, sertifikaları engellemek için Firefox’un kullandığı OneCRL listesine ekledi. Bu kayıtlardaki Mozilla hatası halka kapalı, ve ne Mozilla ne de Go eylemlerini hangi durumun tetiklediğini açıklamadı. Chrome, Apple veya Microsoft’un benzer bir eyleme girişip girişmediği ise belirlenmiş değil.

Go’nun değişikliği, sekiz anahtarın yalnızca SHA-256 özetlerini listeliyor. Go sorununa bir yorumcu, bu özetleri sertifika kayıtlarından sorgulayarak sekizini de eMudhra ara sertifikalarıyla eşleştirmiş.

• TLS, alan adı doğrulanmış: EM DV TLS CA – G3B (eMudhra BV, Hollanda) ve EM DV TLS CA – G3C (eMudhra Inc, ABD)
• TLS, kuruluş doğrulanmış: EM OV TLS CA – G3B ve EM OV TLS CA – G3C
• TLS, genişletilmiş doğrulama: EM EV TLS CA – G3B ve EM EV TLS CA – G3C
• Kod imzalama: EM OV CS CA – G3B ve EM OV CS CA – G3C

The Hacker News, bu özetleri sertifikalarla bağımsız olarak doğrulamamıştır. Mozilla’nın altı kayıtı aynı kök imzalıcıyı taşır, ancak Mozilla’nın kayıtları bu altı sertifikayı isimle belirtmez.

Filtre, bir Go programı sertifika zincirini doğruladığı her çalışmada işler. Sertifikanın kendisini değil, her sertifikanın halka açık anahtarını özetler; dolayısıyla bu sekiz anahtardan birinin çapraz imzalı kopyası, aynı anahtarın farklı bir kök tarafından imzalanmış hali de yakalanır.

İşletim sistemine doğrulamayı devreden Go’nun kendi doğrulayıcısında ve macOS ile Windows kod yollarında uygulanan bu değişiklik, reddedilen bir zincirin x509: no valid chains built hatasını döndürmesine yol açıyor.

Düzeltme, filtreyi kapatmaya yarayan bir ayar içermiyor. Kodun yapısı nedeniyle, aynı zamanda bir programın kendi güvenilir kök kümesini sağladığı durumlarda da geçerli; bu nedenle sekiz anahtardan birini bilinçli olarak güvence altına alan özel bir dağıtım da başarısız olacak. Go ekibi, bunun kastedilip kastedilmediğini belirtmedi.

Go’nun doğrulayıcısı, belgelerinin de uyardığı gibi “hiçbir geri alma doğrulaması yapmıyor”. Ayrıca tarayıcıların kullandığı, bu ay içinde Google’ın sahte sertifikalarına karşı Chrome’un başvurduğu CRLSets gibi liste bloklarını da okumuyor.

Bir anahtarın engellenmesi, bu anahtarın bir sürümde yayımlanması anlamına geliyor; programlar yeniden derlenene kadar eski davranışlarını koruyor. Bluesky’nin indigo projesi de dahil olmak üzere bazı projeler 20 Ekim’de yeni sürümlerle yeniden derlendi.

Sertifika otoritesinde ne olduğu kamuya açık değil. Go’nun duyurusu, güvenlik endişeleri hakkında tek bir cümle veriyor ve 8 Ekim güvenlik sürümlerinden önce gönderdiği ön duyuru olmadan yayımlandı.

Go’nun güvenlik politikası, ACİL takip konularını “Go ekosisteminin bütünlüğüne yönelik bir tehdit” veya ciddi zarara yol açan, aktif olarak sömürülen açıklar olarak tanımlıyor ve yakın zamanda buna dair örnek olmadığını söylüyor. Go, bu tanımlardan hangisinin geçerli olduğunu belirtmedi.

Konuyla ilgili olarak, bir kullanıcı taahhüt edilen düzeltmenin “kimlere ve neye karşılık geldiğini” açıklamasını istedi. Go ekibi, 20 Ekim itibarıyla yanıt vermemişti.

eMudhra, sertifikaları emSign markası altında satan Hint bir sertifika otoritesi. emSign Root CA – G1 ve emSign ECC Root CA – G3 kökleri, Chrome, Apple ve Mozilla kök depolarında yer alıyor. Şirket, bu yılın başlarında Mozilla’ya, yeni TLS kökünün emSign Root CA – G1 tarafından imzalandığını, böylece yeni kök altında çıkan sertifikaların güvenilir bir köke bağlandığını belirtmişti.

Eylül ayında, emSign Root TLS CA – G3’ü de içeren, tarayıcı ve işletim sistemi üreticilerinin yürüttüğü kök programlarına on yeni kök eklenme talebiyle ilgili altı haftalık halka açık görüşme, itiraz olmadan sona erdi.

Sertifalik şeffaflığı kayıtlarına göre, The Hacker News’ın 20 Ekim’de incelediği gibi, emsign.com ve emudhra.com dahil eMudhra’nın kendi alan adları için loglanan sertifikalar, diğer eMudhra ara sunucuları üzerinden zincirleniyor. Şirketin havuzunda o güne kadar ara sunuculara dair herhangi bir bildirim bulunmuyordu ve The Hacker News, eMudhra’dan halka açık bir açıklama bulamadı.

Go 1.25 ve daha eski sürümler destek dışına çıktı ve düzeltme almıyor, bu nedenle tek yol indirme sayfasındaki bir destekli sürüm. Hiçbir kaynakta geçici bir çözüm yok ve süzgeç devre dışı bırakılamıyor.

Sertifikaları sekiz anahtar üzerinden zincirlenen siteler ve hizmetler, yeniden derlenen Go istemcileri bağlanabilsin diye farklı bir ara sunucudan sertifikalara ihtiyaç görecek.