Mozilla-anställda råkade lägga ut en privat GPG-nyckel för Firefox och Thunderbird på GitHub

Mozilla har meddelat att de byter GPG-nyckeln som används för att säkerställa digitala signaturer av release-artiklar för Firefox och Thunderbird, såsom tar-arkiv, RPM-paket och kontrollsummefiler. Bytet görs på grund av en incident där en okrypterad kopia av nyckeln av misstag lades till i företagets privata repository på GitHub, tillgängligt för ett begränsat antal projektmedlemmar som hade tillgång till nyckelanvändning via interna tjänster.

Analysen av revisionsloggar visade inga bevis på att obehöriga har haft tillgång till nyckeln medan den var i repository på GitHub. För de flesta användare kräver nyckelbytet inga åtgärder. Undantag utgörs enbart av användare som manuellt kontrollerar digitala signaturer eller installerar RPM-paket från officiella Firefox-byggnader från Mozilla. I dessa fall kommer det att krävas att den nya offentliga nyckeln importeras explicit och den gamla nyckeln återkallas.

För användare av Fedora till och med version 42 (i Fedora 43 kommer nyckeln att bytas automatiskt) samt RHEL/Rocky/Almalinux behövs följande: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all

I openSUSE och SUSE: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh

Källa: opennet.ru