Mozilla har annonceret udskiftningen af GPG-nøglen, der bruges til at bekræfte digitale signaturer på artefakter fra Firefox- og Thunderbird-udgivelser, såsom tar-arkiver, RPM-pakker og kontrolsumfiler. Udskiftningen sker på baggrund af en hændelse, hvor en ukrypteret kopi af nøglen ved en fejl blev tilføjet til virksomhedens private lager på GitHub, som er tilgængeligt for et begrænset antal projektmedarbejdere, der havde adgang til at anvende nøglen via interne tjenester.
Analyse af revisionslogs viste ingen beviser for, at tredjepart har haft adgang til nøglen, mens den var i lageret på GitHub. For de fleste brugere vil udskiftningen af nøglen ikke kræve nogen handling. Undtagelserne er kun brugere, der manuelt kontrollerer digitale signaturer eller installerer RPM-pakker med officielle Firefox-udgivelser fra Mozilla. I disse tilfælde vil det være nødvendigt at importere den nye offentlige nøgle eksplicit og tilbagekalde den gamle.
Brugere af Fedora op til version 42 (i Fedora 43 vil nøglen blive udskiftet automatisk) samt RHEL/Rocky/Almalinux skal udføre: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
I openSUSE og SUSE: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Kilde: opennet.ru
