Des employés de Mozilla ont accidentellement publié sur GitHub une clé GPG privée pour Firefox et Thunderbird

La société Mozilla a annoncé le remplacement de la clé GPG utilisée pour signer numériquement les artefacts des versions de Firefox et Thunderbird, tels que les archives tar, les paquets RPM et les fichiers de sommes de contrôle. Ce remplacement a été effectué suite à un incident où une copie non chiffrée de la clé a été accidentellement ajoutée à un dépôt privé de l'entreprise sur GitHub, accessible à un nombre limité de participants au projet ayant accès à l'utilisation de la clé via des services internes.

L'analyse des journaux d'audit n'a révélé aucune preuve d'accès par des tiers à la clé pendant sa présence dans le dépôt sur GitHub. Pour la plupart des utilisateurs, le remplacement de la clé ne nécessitera aucune action. Les exceptions concernent uniquement les utilisateurs qui vérifient manuellement les signatures numériques ou installent des paquets RPM avec les versions officielles de Firefox de Mozilla. Dans ces cas, il faudra explicitement importer la nouvelle clé publique et révoquer l'ancienne.

Pour les utilisateurs de Fedora jusqu'à la version 42 incluse (dans Fedora 43, la clé sera remplacée automatiquement) et RHEL/Rocky/Almalinux, il est nécessaire de faire : sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all

Dans openSUSE et SUSE : sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh

Source : opennet.ru