모질라 직원들이 실수로 파이어폭스와 썬더버드의 개인 GPG 키를 깃허브에 게시했습니다.

모질라는 타르볼, RPM 패키지, 체크섬 파일 등 파이어폭스와 썬더버드 릴리스 아티팩트에 디지털 서명하는 데 사용되는 GPG 키를 교체했다고 발표했습니다. 이번 교체는 암호화되지 않은 키 사본이 실수로 회사 내부 GitHub 저장소에 추가된 사건 이후에 이루어졌으며, 해당 저장소는 내부 서비스를 통해 키에 접근 권한이 있는 소수의 프로젝트 기여자만 접근할 수 있었습니다.

감사 로그 분석 결과, GitHub 저장소에 있는 동안 제3자가 해당 키에 접근한 흔적은 발견되지 않았습니다. 대부분의 사용자는 키를 교체하는 데 별도의 조치가 필요하지 않습니다. 단, 디지털 서명을 수동으로 확인하거나 공식 Mozilla Firefox 빌드가 포함된 RPM 패키지를 설치하는 사용자는 예외입니다. 이러한 경우에는 새 공개 키를 명시적으로 가져오고 이전 키를 폐기해야 합니다.

Fedora 42 버전 이하 사용자(Fedora 43부터는 키가 자동으로 교체됩니다) 및 RHEL/Rocky/Almalinux 다음 명령어를 실행해야 합니다: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all

openSUSE 및 SUSE에서 다음 명령을 실행하세요: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh

출처 : opennet.ru