Go phát hành bản cập nhật khẩn cấp chặn 8 khóa CA
"Go versions 1.27.3 and 1.26.10 were released to block eight intermediate certificate authority (CA) keys due to undisclosed security concerns. This change causes Go programs to reject connections to services using certificates issued by these keys. The issue is considered urgent, requiring immediate upgrades, and affects both the Go verifier and OS-level verification on macOS and Windows."
Việc chặn các khóa CA có thể dẫn đến lỗi xác thực SSL/TLS, ảnh hưởng đến tính bảo mật của các ứng dụng sử dụng Go.
Các doanh nghiệp sử dụng Go có thể gặp gián đoạn dịch vụ nếu họ không cập nhật lên phiên bản mới nhất. Việc khắc phục sự cố có thể tốn chi phí và thời gian.
Go phiên bản 1.27.3 và 1.26.10 vừa được phát hành để chặn 8 khóa trung gian của nhà cung cấp chứng chỉ (CA) do lo ngại bảo mật. Thay đổi này khiến các chương trình Go từ chối kết nối đến các dịch vụ sử dụng chứng chỉ do các khóa này cấp.
Việc này ảnh hưởng đến các kỹ sư và doanh nghiệp Việt Nam sử dụng Go, đặc biệt là các ứng dụng cần xác thực SSL/TLS. Việc cập nhật ngay lập tức là cần thiết để đảm bảo an toàn cho hệ thống.
Chi tiết sự việc
Go team cho biết các khóa này thuộc về một CA không được công bố và họ chặn chúng vì “các lo ngại bảo mật cụ thể liên quan đến hoạt động” của CA này. Mozilla cũng đã thêm sáu chứng chỉ trung gian do eMudhra's emSign Root TLS CA - G3 cấp vào danh sách chặn (OneCRL) vào ngày 17 tháng 10. Nguyên nhân đằng sau hành động này của Mozilla và Go vẫn chưa được công khai.
Các khóa bị chặn
Danh sách thay đổi của Go chỉ liệt kê các SHA-256 hash của 8 khóa. Một người dùng trên issue tracker của Go đã đối chiếu các hash này với các bản ghi chứng chỉ và xác định chúng thuộc về các khóa trung gian của eMudhra. Cụ thể:
TLS, domain validated: EM DV TLS CA - G3B (eMudhra BV, Netherlands) và EM DV TLS CA - G3C (eMudhra Inc, U.S.) TLS, organization validated: EM OV TLS CA - G3B và EM OV TLS CA - G3C TLS, extended validation: EM EV TLS CA - G3B và EM EV TLS CA - G3C Code signing: EM OV CS CA - G3B và EM OV CS CA - G3C
Cách thức hoạt động
Bộ lọc này hoạt động bằng cách hash khóa công khai của chứng chỉ, thay vì chính chứng chỉ. Điều này có nghĩa là ngay cả các bản sao chứng chỉ được ký bởi một root khác cũng sẽ bị chặn. Bộ lọc được áp dụng trong trình xác minh của Go, cũng như trên macOS và Windows. Các chuỗi bị từ chối trả về lỗi x509: no valid chains built.
Hạn chế
Không có tùy chọn nào để tắt bộ lọc này. Go team cũng chưa làm rõ liệu việc triển khai riêng tư với các root được tin cậy tùy chỉnh có bị ảnh hưởng hay không. Các phiên bản Go 1.25 trở về trước không được hỗ trợ và sẽ không nhận được bản sửa lỗi.
Câu hỏi thường gặp
Tại sao Go lại phát hành bản cập nhật khẩn cấp này?
Go phát hành bản cập nhật này để chặn 8 khóa trung gian của một nhà cung cấp chứng chỉ (CA) do các lo ngại bảo mật. Việc này nhằm ngăn chặn các kết nối đến các dịch vụ sử dụng chứng chỉ bị ảnh hưởng.
Những phiên bản Go nào bị ảnh hưởng?
Các phiên bản Go 1.27.3 và 1.26.10 là các phiên bản mới nhất được phát hành để giải quyết vấn đề này. Các phiên bản Go 1.25 trở về trước không được hỗ trợ và không nhận được bản sửa lỗi.
Làm thế nào để khắc phục sự cố này?
Cập nhật lên phiên bản Go mới nhất (1.27.3 hoặc 1.26.10) là cách duy nhất để khắc phục sự cố này. Không có tùy chọn nào để tắt bộ lọc chặn khóa CA.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc này cho thấy tầm quan trọng của việc cập nhật phần mềm thường xuyên, đặc biệt là các thư viện bảo mật như Go. Các doanh nghiệp Việt Nam nên ưu tiên cập nhật lên phiên bản mới nhất để tránh các rủi ro tiềm ẩn. Điều đáng chú ý là việc chặn các khóa CA này có thể ảnh hưởng đến các dịch vụ sử dụng chứng chỉ do eMudhra cấp, do đó cần theo dõi thông tin từ nhà cung cấp chứng chỉ.