Ricompilare con Go può interrompere connessioni TLS
Con Go 1.27.3 e 1.26.10, il team Go ha bloccato otto chiavi pubbliche di CA: i programmi ricompilati rifiutano le connessioni TLS ai servizi le cui catene di certificati le contengono. Il team ha motivato la scelta con problemi di sicurezza non precisati.
Il controllo riguarda la chiave pubblica, non il certificato che la contiene. Cambiare certificato o firmatario, quindi, non ripristina la fiducia se la catena usa ancora la stessa chiave; la connessione torna solo con una catena priva delle chiavi bloccate.
Mozilla aveva bloccato sei intermedi correlati il 17 ottobre, due giorni prima del rilascio Go del 20 ottobre. Un confronto di hash fatto da un terzo li associa a emSign, ma la testata non ha verificato autonomamente l’identificazione. Anche i servizi che non dipendono da applicazioni Go possono essere coinvolti se usano quegli intermedi: aggiornare i binari, da solo, non ripristina la connettività.