Il Go checksum database è un servizio di verifica usato dal sistema dei moduli Go per confermare che una versione di un modulo non sia cambiata in modo inatteso. Quando uno sviluppatore scarica una dipendenza, la toolchain Go può confrontare l'hash del modulo con record affidabili e con il file go.sum del progetto. Se il contenuto non corrisponde, il download viene segnalato come sospetto.
Questo è importante perché gli attacchi alla supply chain spesso cercano di sostituire pacchetti legittimi con versioni manomesse, oppure di alterare le release dopo la loro pubblicazione. La verifica del checksum non impedisce a un attaccante di pubblicare inizialmente codice malevolo, ma può rilevare modifiche successive, corruzione o alcune forme di compromissione del registro. Nelle difese reali, funge da rete di sicurezza per l'integrità delle dipendenze e aiuta i team di sicurezza ad avere fiducia nel fatto che le build stiano usando gli stessi byte del modulo che erano stati verificati in precedenza. Per i progetti Go, mantenere attiva la verifica dei checksum è una parte fondamentale della difesa contro le dipendenze avvelenate.