Go, güvenilmeyen sekiz SPKI içeren sertifika zincirlerini reddedecek

Özet: Go programlama dili, sekiz adet güvenilmeyen Subject Public Key Info (SPKI) içeren sertifika zincirlerini artık kabul etmeyecek. Bu durum, özellikle eMudhra’dan kaynaklanan 16 sertifikayı etkiliyor ve bu sertifikalar artık Go uygulamaları tarafından geçersiz sayılacak.

Go runtime’ı, belirli sertifika zincirlerini reddetme kararı aldı. Bu durum, özellikle sekiz adet güvenilmeyen SPKI (Subject Public Key Info) içeren sertifikaları hedefliyor. SPKI, bir sertifikadaki genel anahtarın benzersiz bir tanımlayıcısıdır ve bu tür bir reddetme, güvenlik zafiyetleri veya yanlış yapılandırmalar nedeniyle güvenilirliğini yitirmiş sertifika yetkililerini (CA) hedef alır.

Go’nun TLS (Transport Layer Security) implementasyonu, sertifika zinciri doğrulama sürecinde bu SPKI’ları kontrol edecek. Güvenilmeyen olarak işaretlenen SPKI’lardan herhangi birini içeren bir zincirle karşılaşıldığında, Go uygulaması bağlantıyı reddedecek ve bir hata döndürecek. Bu, genellikle crypto/x509 paketindeki doğrulama mantığı üzerinden işler.

Canlı sistemlerde Go ile yazılmış uygulamalar, bu tür sertifikaları kullanan dış servislerle veya iç bileşenlerle iletişim kurarken sorun yaşayabilir. Özellikle eMudhra tarafından verilen sertifikaları kullanan altyapılar, Go uygulamalarının bu servislere erişememesi nedeniyle kesintilerle karşılaşabilir. Bu durum, sertifika yenileme veya alternatif CA’lara geçiş gerektirebilir.

Mühendislerin, Go uygulamalarının kullandığı tüm sertifika zincirlerini gözden geçirmesi ve etkilenen SPKI’ları içerip içermediğini kontrol etmesi önemlidir. Bu tür değişiklikler, genellikle güvenlik güncellemeleriyle birlikte gelir ve sistemlerin güvenliğini artırmak için kritik öneme sahiptir.

🔗 Kaynak: Lobsters
💬 Topluluk Tartışması: İncele
📡 Takip edilen kaynaklar ve akış: Radar