Служителите на Mozilla случайно публикуваха закрит GPG ключ за Firefox и Thunderbird в GitHub

Компания Mozilla обяви замяна на GPG-ключа, използван за удостоверяване на цифровия подпис на артефактите от изданията на Firefox и Thunderbird, като tar-архиви, RPM-пакети и файлове с контролни суми. Замяната е извършена във връзка с инцидент, при който незашифрована версия на ключа е била по недоглеждане добавена в частен репозитори на компанията в GitHub, достъпен само за ограничен брой участници в проекта, които имат достъп до използването на ключа чрез вътрешни услуги.

Анализът на логовете на одита не е открил доказателства за достъп на трети лица до ключа по време на присъствието му в репозиториото на GitHub. За повечето потребители замяната на ключа не изисква никакви действия. Изключенията са само потребители, които ръчно проверяват цифровите подписи или инсталират RPM-пакети с официалните версии на Firefox от Mozilla. В тези случаи ще е необходимо явно да се импортира новия публичен ключ и да се отзове стария.

Потребителите на Fedora до версия 42 включително (в Fedora 43 ключът ще бъде заменен автоматично) и RHEL/Rocky/Almalinux трябва да изпълнят: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all

В openSUSE и SUSE: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh

Източник: opennet.ru