Let's EncryptがはまったGolangの落とし穴 - ぼちぼち日記

0. 短いまとめ 300万以上の証明書の失効を迫られたLet's Encryptのインシデントは「Golangでよくある間違い」と書かれているようなバグが原因でした。 1. はじめに、 Let's Encryptは、無料でサーバ証明書を自動化して発行するサービスを行う非営利団体として2014年に設立されました。 2015年にサービス開始されると証明書の発行数はぐんぐん伸び、先月末のプレスリリースでは累計10億枚のサーバ証明書を発行したことがアナウンスされました「Let's Encrypt Has Issued a Billion Certificates」。CTLogの調査から、2020年2月末の時点では有効な全証明書の38.4%がLet's Encryptの証明書であるとみられています「Certificate Validity Dates」。 無料の証明書を提供してもらえるのは非常に嬉し

[jovi0608]

300万以上の証明書の失効を迫られたLet's Encryptのインシデントは「Golangでよくある間違い」と書かれているようなバグが原因でした。

[zentarou]

scopelint使おう https://github.com/kyoh86/scopelint

[junjun777]

Golangの流儀に慣れてると「よくある」のか？OldタイプのCプログラマーとしては、やりそうにないんだけど、、、？

[el-condor]

これRustだったらコンパイラに怒られる気がする。

[everybodyelse]

あー、あるある。golangはフランクに参照を扱えるので、なんも考えずにループ回して突っ込んでぶっ壊れることあったわ。

[hachibeechan]

穴があればヒューマンはハマるから仕方ないね

[devorgachem]

authz2ModelMapToPB の単体テストで発覚できたはずだけど、小さいし boilerplate だから自分も書くかどうか怪しいなぁ。Go はこの種のが非常に多いから、いちいちテストしたくないのはわかるけどここに多くのバグが潜んでいる

[rs250]

goは全然知らないがc++使いとしては一時変数の参照を保持し続けるなんてコードは絶対書かないけどな...なんだこれ

[digo]

ポインタじゃなくてもfor文の中でgoroutine書いてハマったりもする。 「i := i」 って書いとくと防げる（バッドノウハウ）

[fashi]

「処理コメントを見ると、iterator変数をloopeする際に参照を使う問題についてちゃんと意識してコードを書いていたことがわかります。本当に惜しい。」

[lambdalisue]

本家が間違ってたテヘペロ言ってる挙動、よくハマるし辛いだけ https://golang.org/doc/faq#closures_and_goroutines

[s_hiiragi]

元のコードを見たらfor文やGolangに関係なく自分でもミスしそうなバグだった

[nilab]

「300万以上の証明書の失効を迫られたLet's Encryptのインシデントは「Golangでよくある間違い」と書かれているようなバグが原因でした」

[tackman]

Golangやっぱり注意資源かなり持っていかれる言語だよなあという印象が強まる

[nmcli]

参照渡しかぁ……　ってなった

[diveintounlimit]

コード見て「あぁ〜」となった

[ginpei]

Let's Encryptが300万の証明書を失効させることになったやつの解説の解説。ループ変数の参照を保持してしまうGoに限らないやつ。無知ではなく凡ミスの様子。関連情報の解説が丁寧。

[chintaro3]

「Let's Encryptによって無料証明書を使ったHTTPSのフィッシングサイトが大幅に増加しているといった負の側面」

[uehaj]

値コピーを避けて参照を使ったことにより共有される可変状態の問題。c++ならムーブセマンティクスand/or unique_ptr、Rustならオーナーシップ、関数型なら値コピーか可変状態の禁止で解決される。

[n314]

こんな無意味な参照の使い方あり得る？と思ったけどJavaScriptのfor(var i; 後のクロージャでi使うとかPHPのforeach($as as &$a) とかと同じなのかな？でもまあ書いたらすぐdisられるやつだけど。

[tmatsuu]

素晴らしい

[jsstudy]

Goは自由度が高い反面、結果的に安全ではない書き方が出来てしまう言語ということが判明。ベターC/C++としてコンパイル言語を選定する場合、今ならRustという安全牌もある？

[ytakano]

Haskell、OCaml、Rustあたりを使わないからこうなる

[t_motooka]

なるほど、こんな経緯だったのね。

[morita_non]

ループ構文は人類には早すぎたんだ…再帰に帰ろう。再帰へ帰ろう。再帰…

[daichirata]

スタックかヒープかはコンパイラが解析するから気にする必要がないGoあるある。けど流石にこの辺は言語側で何とかして欲しい。

[overkitten]

loop内でgoroutine作る時にすごい気を使う部分だ

[onesplat]

あるある。正直golamgはもうオワコン

[rin51]

変数のアドレスを格納してる？変数がスタック変数の場合は死ぬのでは

[nminoru]

まあ落とし穴ではあるな。

[natu3kan]

動作の原理を理解してても、何か所も確認箇所があると見逃すって事はあるよなあ＞再発防止策として、テストやログの充実、静的解析やレビューの実施、protocol buffer ver3のアップグレードなどが挙げられています。

[tinsep19]

protocol buffer v2が全部参照で受けるAPIだから、ライブラリ内部で値コピーしてるだろ的な失敗てこと？

[Dragoonriders]

元のmodelToAuthzPB()の引数が*渡しになってるのが引っ張られた元凶なんだろうけども、認証系のところなんだから、ちゃんとテストしないとさ。&も*も頻出すぎる言語だな。近寄らんとこ。

[mapyo]

これはやってしまいそう。配列周りは２つ以上の要素を使ってテスト書くようにすればある程度は防げるのかなぁ。

[tohokuaiki]

よく気付いたな。俺なら絶対自分側に問題あると思ってしまうわ。“今回バグは、当初ユーザからエラーが99個の同一のメッセージを出しているとのレポートによって発覚しました”

[qtamaki]

Rustだったらコンパイルエラーになっていたのに(って思った人多そう)

[chimerast]

C/C++だと、スタック上のメモリ参照になって、メモリ破壊起きるから、気づくやつだなあ。Javaだとやろうとすると一手間かかるから普通やらない。golangだとローカル変数の参照って、こんなにカジュアルにやるもんなの？

[daruyanagi]

“（修正は）単純に参照渡しを値渡しに変えるだけ”

[PEEE]

Cでたまに見るやつだ。