Mozilla ประกาศเปลี่ยนคีย์ GPG ที่ใช้ในการลงนามดิจิทัลสำหรับไฟล์ต่างๆ ของ Firefox และ Thunderbird เช่น ไฟล์บีบอัด (tarball), แพ็กเกจ RPM และไฟล์ตรวจสอบความถูกต้อง (checksum) การเปลี่ยนคีย์ครั้งนี้เกิดขึ้นหลังจากเกิดเหตุการณ์ที่สำเนาคีย์ที่ไม่ได้เข้ารหัสถูกเพิ่มเข้าไปในที่เก็บข้อมูล GitHub ส่วนตัวของบริษัทโดยไม่ได้ตั้งใจ ซึ่งมีเพียงผู้ร่วมพัฒนาโครงการจำนวนจำกัดเท่านั้นที่สามารถเข้าถึงคีย์ได้ผ่านบริการภายใน
จากการวิเคราะห์บันทึกการตรวจสอบ ไม่พบหลักฐานการเข้าถึงคีย์โดยบุคคลที่สามขณะที่คีย์อยู่ในที่เก็บข้อมูล GitHub สำหรับผู้ใช้ส่วนใหญ่ การเปลี่ยนคีย์จะไม่ต้องดำเนินการใดๆ ยกเว้นผู้ที่ตรวจสอบลายเซ็นดิจิทัลด้วยตนเอง หรือติดตั้งแพ็กเกจ RPM ที่มีเวอร์ชันอย่างเป็นทางการของ Mozilla Firefox ในกรณีเหล่านี้ พวกเขาจะต้องนำเข้าคีย์สาธารณะใหม่และยกเลิกคีย์เก่าอย่างชัดเจน
สำหรับผู้ใช้ Fedora เวอร์ชัน 42 ขึ้นไป (ใน Fedora เวอร์ชัน 43 คีย์จะถูกแทนที่โดยอัตโนมัติ) และ RHEL/Rocky/Almalinux คุณต้องรันคำสั่งต่อไปนี้: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
ใน openSUSE และ SUSE: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
ที่มา: opennet.ru
