الإجاباتمنشور14 المصادر
موزيلا تلغي مفتاح توقيع Firefox و Thunderbird GPG بعد تسريبه عن غير قصد على GitHub
في 10 أغسطس 2026، كشفت موزيلا عن تسريب نسخة غير مشفرة من مفتاح توقيع GPG فرعي خاص بـ Firefox و Thunderbird في مستودع GitHub خاص. وقع الحادث بعد أقل من أسبوع من هجوم keyv npm الضخم (ChainDrop) الذي تم الكشف عنه في 4 أغسطس 2026، والذي اخترق أكثر من 2251 إصدارًا من 452 حزمة فريدة.
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
إجابة البحث
الوجبات السريعة الرئيسية
- في 10 أغسطس 2026، كشفت موزيلا عن تسريب نسخة غير مشفرة من مفتاح توقيع GPG فرعي خاص بـ Firefox و Thunderbird في مستودع GitHub خاص.
- وقع الحادث بعد أقل من أسبوع من هجوم keyv npm الضخم (ChainDrop) الذي تم الكشف عنه في 4 أغسطس 2026، والذي اخترق أكثر من 2251 إصدارًا من 452 حزمة فريدة.
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
في 10 أغسطس 2026، أعلنت شركة موزيلا عن تسريب غير مقصود لنسخة غير مشفرة من مفتاح توقيع GPG فرعي خاص إلى مستودع GitHub داخلي، مما اضطرها إلى استبدال المفتاح على الفور خاصة بالأرتيفاكتات الخاصة بـ Firefox و Thunderbird لأنظمة لينكس. إليك التفاصيل الكاملة.
كيف تم تسريب المفتاح
تم تسريب المفتاح الفرعي الخاص GPG، المستخدم لتوقيع ملفات لينكس المضغوطة (tarballs) وحزم RPM وملفات المجاميع الاختبارية (checksum files)، عن طريق الخطأ عندما قام أحد موظفي موزيلا بإرسال نسخة غير مشفرة منه إلى مستودع GitHub خاص . كان الوصول إلى هذا المستودع مقتصرًا على مجموعة صغيرة داخل موزيلا، ولكن تم تخزين المادة الرئيسية بدون حماية بكلمة مرور .
نتائج تحقيق موزيلا
بعد مراجعة سجلات التدقيق المتاحة، لم تجد موزيلا أي دليل على أن أي طرف غير مصرح له قد تمكن من الوصول إلى المفتاح أثناء وجوده في المستودع . كان الوصول مقتصرًا على الأفراد الذين كان لديهم بالفعل وصول مصرح به إلى المفتاح من خلال وسائل أخرى . قامت موزيلا بتقييم مخاطر حدوث هجوم فعلي على سلسلة التوريد (مثل قيام المهاجمين بتوزيع مثبتات ضارة موقعة) على أنها منخفضة .
الإجراءات المتخذة
-
الإلغاء: قامت موزيلا بإلغاء المفتاح المخترق باستخدام رمز السبب 2، والذي يعنيمواصفات GPG/OpenPGP "تم اختراق المادة الرئيسية" (أي ما يعادل
KEY_COMPROMISE) . -
المفتاح البديل: تم إصدار مفتاح توقيع GPG فرعي جديد ببصمة الإصبع (fingerprint):
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3هذا المفتاح الفرعي صالح حتى 5 أغسطس 2028 . بصمة المفتاح الرئيسي هي
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
الضمانات: أضافت موزيلا ضمانات داخلية لمنع حدوث تسريبات مماثلة في المستقبل .
-
تأثير الإلغاء: نظرًا لأن إلغاء GPG دائم، فإن الملفات الموقعة بالمفتاح القديم تتوقف عن العمل بمجرد أن يقوم المستخدم باستيراد شهادة الإلغاء - وهذا ينطبق على التنزيلات القديمة وليس المستقبلية فقط .
من يحتاج إلى اتخاذ إجراء
معظم المستخدمين - لا حاجة لاتخاذ أي إجراء. تقول الإرشادات الرسمية لموزيلا: "بالنسبة لمعظم المستخدمين، لا يلزم اتخاذ أي إجراء" . آليات التحديث التلقائي تتعامل مع انتقال المفتاح بشفافية.
يلزم اتخاذ إجراء يدوي لهذه المجموعات:
| السيناريو |
|---|
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "موزيلا تلغي مفتاح توقيع Firefox و Thunderbird GPG بعد تسريبه عن غير قصد على GitHub"؟
في 10 أغسطس 2026، كشفت موزيلا عن تسريب نسخة غير مشفرة من مفتاح توقيع GPG فرعي خاص بـ Firefox و Thunderbird في مستودع GitHub خاص.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في 10 أغسطس 2026، كشفت موزيلا عن تسريب نسخة غير مشفرة من مفتاح توقيع GPG فرعي خاص بـ Firefox و Thunderbird في مستودع GitHub خاص. وقع الحادث بعد أقل من أسبوع من هجوم keyv npm الضخم (ChainDrop) الذي تم الكشف عنه في 4 أغسطس 2026، والذي اخترق أكثر من 2251 إصدارًا من 452 حزمة فريدة.