Das Unternehmen Mozilla hat angekündigt, den GPG-Schlüssel zu ersetzen, der zur Signierung von Release-Artefakten von Firefox und Thunderbird verwendet wird, wie z.B. tar-Archive, RPM-Pakete und Prüfziffern-Dateien. Der Austausch erfolgte aufgrund eines Vorfalls, bei dem eine unverschlüsselte Kopie des Schlüssels versehentlich in ein privates Repository des Unternehmens auf GitHub hochgeladen wurde, das nur einer begrenzten Anzahl von Projektteilnehmern zur Verfügung steht, die über interne Dienste Zugang zur Verwendung des Schlüssels hatten.
Die Analyse der Audit-Protokolle ergab keine Beweise für den Zugriff Dritter auf den Schlüssel während seiner Lagerung im Repository auf GitHub. Für die meisten Benutzer erfordert der Schlüsselwechsel keine Maßnahmen. Ausnahmen bilden nur die Benutzer, die manuell digitale Signaturen überprüfen oder RPM-Pakete mit den offiziellen Firefox-Bausteinen von Mozilla installieren. In diesen Fällen muss der neue öffentliche Schlüssel explizit importiert und der alte zurückgezogen werden.
Benutzer von Fedora bis einschließlich Version 42 (in Fedora 43 wird der Schlüssel automatisch ersetzt) sowie RHEL/Rocky/Almalinux müssen Folgendes ausführen: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
In openSUSE und SUSE: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Quelle: opennet.ru
