Ресурсы: техническое описание TLS, LaTeX - в картинки (img), криптографическая библиотека Arduino, шифр "Кузнечик" на ассемблере AMD64/AVX и ARM64
Странное изменение в Go crypto/x509: недоверенные ключи по списку
В стандартной библиотеке Go crypto/x509, к сожалению, тоже начали понемногу разламывать внутреннюю логику: в свежем релизе 1.27.3 добавлена функция, которая внутри библиотеки, в ветке проверки валидности цепочки сертификатов, непосредственно признаёт невалидными сертификаты по отпечаткам некоторых открытых ключей.
Нормальных объяснений – что это за ключи, почему их нужно встроить непосредственно в библиотеку, – нет. Сказано только, что это результат компрометации УЦ. Почему это должно требовать изменения логики работы verify.go, с привязкой к конкретным ключам, не объясняется. Очень странно.
Заметьте, что данный способ отбрасывания сертификатов по отпечаткам ключей работает вне зависимости от того, какой список доверенных сертификатов вы используете: ещё раз – ключи зачем-то зашили прямо в исходный код библиотеки (distrustedSPKIHashes в коде verify.go).
Адрес записки: https://dxdt.blog/2026/10/20/19444/
Похожие записки:
- Рандомизация регистра символов в DNS
- Шумный ИИ
- SSL.com и TLS-сертификаты для непроверенных имён
- Техническое: poison-расширение и SCT-метки в Certificate Transparency
- Контринтуитивное восприятие ИИ на примере из криптографии
- Системы счисления и системное администрирование
- TLS-сертификаты dxdt.ru
- Опять количество строк кода и измерения ИИ
- Несколько комментариев "около 3d-печати"
- Блокирование видео на Youtube и ошибки копирования
- Статья о технологии Encrypted Client Hello
Новый 
Комментарии читателей блога: 4
1 <t> // 20th October 2026, 20:46 // Читатель beldmit написал:
https://emudhra.we-have-a-problem.com/
2 <t> // 20th October 2026, 20:51 // Александр Венедюхин:
Печально. Однако всё равно мне не понятно, почему надо их прибивать гвоздями в Go-шную библиотеку, дописав там логику под такой (новый) механизм. “Такое себе”, как говорится.
3 <t> // 20th October 2026, 21:27 // Читатель beldmit написал:
Напомню, что с Diginotar было примерно то же самое. Так быстрее и надёжнее.
4 <t> // 20th October 2026, 21:55 // Александр Венедюхин:
Так-то оно да, но архитектурно – не верно, на мой взгляд. И, в Go, вроде, это первый такой случай.
Написать комментарий