Семь с половиной часов: как Go закрывал дыру в ключах eMudhra и что сделать у себя

[Fedasiaz]

Очень глубокий разбор. Код восстановления приватного ключа из публичного сертификата выглядит просто как магия, особенно учитывая, что это занимает доли секунды. Наглядно показывает, насколько критичной была ошибка на церемонии.

Отдельный респект за пункт про CI. Мысль про то, что govulncheck и проверка версии компилятора должны крутиться на каждый коммит, а не раз в год по тревоге, — это золото. Я как раз разрабатываю инструмент (suturely), который автоматизирует обновление зависимостей и чинит сломанный код с помощью LLM. И такие инциденты, как с eMudhra, — отличный аргумент в пользу того, что процесс обновления и верификации должен быть максимально автоматизированным. Вручную в 3 часа ночи пересобирать сотни микросервисов и молиться, что новый тулчейн ничего не сломал — то еще удовольствие.

Вопрос по практике: насколько сильно govulncheck в режиме binary замедляет пайплайн, если бинарников много? Вы гоняете его на каждый PR или вынесли в отдельную ночную джобу?