https://golang.org/doc/go1.15
Они реально в ASN.1 SET OF не делали сортировку, производя совершенно
невалидный DER. Плюс строгость из декодера очень низкая и они только
сейчас добавили проверку на минимальность кодирования OBJECT IDENTIFIER.
Я уже давно им отправлял патч на аналогичную проверку в INTEGER, но
проигнорировали. Эта библиотека ужасна и как кодер и как декодер.
Впрочем, её никогда и не представляли как какую-то настоящую и
полноценную, а только чтобы ей *хоть как-то* можно было распарсить X.509
сертификаты. У меня уже была мысль на Go написать нормальную, ибо опыт с
PyDERASN-ом уже есть, но задач нет, а на работе Go не хотят видеть.