Mozilla обновила GPG-ключ для подписи релизов Firefox и Thunderbird

Mozilla сменила GPG-подключ для подписи релизов Firefox и Thunderbird

19 июня 2024 года Mozilla перешла на новую GPG-подключ для подписи артефактов Firefox и Thunderbird. Смена ключа вызвана непреднамеренным коммитом незашифрованной копии предыдущего ключа в приватный репозиторий GitHub. Инцидент произошел из-за ошибки сотрудника. Аудит записей не выявил доказательств несанкционированного доступа к ключу во время его нахождения в репозитории. Доступ к репозиторию был ограничен небольшой группой сотрудников Mozilla, имевших авторизованный доступ к ключу другими способами. Предыдущий ключ отозван, внедрены дополнительные меры для предотвращения подобных инцидентов.

Firefox RPM-пакеты требуют ручного вмешательства

Для большинства пользователей никаких действий не требуется. Однако, если вы вручную проверяете GPG-подписи или используете RPM-пакеты Firefox, может потребоваться ручное вмешательство. Thunderbird не предоставляет официальные RPM-пакеты, поэтому для него действия не нужны. Пользователям RPM-пакетов необходимо импортировать новый ключ подписи и отозвать старый. В зависимости от версии пакетного менеджера, процесс может отличаться. Для Fedora 43 и новее специальное действие не требуется, система загрузит обновленный ключ при следующем обновлении. Необходимо убедиться, что отпечаток ключа совпадает с 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3. Для Fedora 42 и старше, а также RHEL/Rocky/Almalinux, требуется ручное удаление старого ключа командой sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353, затем импорт нового ключа sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg и очистка кэша sudo dnf clean all. Для openSUSE/SUSE-дистрибутивов процесс аналогичен, но используется команда zypper refresh вместо dnf clean all.

Детали нового GPG-ключа

Отпечаток нового основного GPG-ключа: 14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. Отпечаток нового подключа подписи: 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3. Срок действия нового ключа подписи истекает 5 августа 2028 года. Новый публичный ключ и информация об отзыве предыдущего доступны для загрузки с архива Firefox Nightly, сайта keys.openpgp.org или встроены в текст новости. После импорта отзыва предыдущего ключа, релизы, подписанные им, перестанут быть верифицируемыми.

Источники: Mozilla Security · SecurityWeek