AnswersPublished14 sources
Mozilla musela odvolat podpisový klíč pro Firefox a Thunderbird. Hrozilo zneužití?
Mozilla 10. srpna 2026 oznámila, že zaměstnanec omylem nahrál nešifrovanou kopii GPG privátního podklíče pro podepisování Linuxových artifactů Firefoxu a Thunderbirdu do privátního repozitáře na GitHubu.
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Research answer
Key takeaways
- Mozilla 10. srpna 2026 oznámila, že zaměstnanec omylem nahrál nešifrovanou kopii GPG privátního podklíče pro podepisování Linuxových artifactů Firefoxu a Thunderbirdu do privátního repozitáře na GitHubu.
- Incident se stal necelý týden po masivním útoku na npm balíčky keyv a cacheable (ChainDrop) ze 4.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
10. srpna 2026 Mozilla oznámila, že došlo k bezpečnostnímu incidentu: zaměstnanec společnosti omylem nahrál nešifrovanou kopii privátního GPG podepisovacího podklíče do privátního repozitáře na GitHubu . Tento klíč byl používán k podepisování Linuxových artifactů Firefoxu a Thunderbirdu – konkrétně tarballů, RPM balíčků a souborů s kontrolními součty. Následuje podrobný rozpis události a jejího kontextu.
Jak ke kompromitaci došlo
Privátní GPG podklíč byl neúmyslně nahrán v nešifrované (plaintextové) podobě do privátního GitHub repozitáře zaměstnancem Mozilly . Repozitář byl sice přístupný pouze úzké skupině lidí v rámci Mozilly, ale klíč nebyl chráněn heslem .
Co zjistilo vyšetřování Mozilly
Mozilla prostudovala dostupné auditní záznamy a nenašla žádný důkaz, že by klíč byl zpřístupněn neoprávněné osobě po dobu, kdy byl v repozitáři uložen . Přístup k repozitáři měli pouze lidé, kteří již měli k tomuto klíči oprávněný přístup i z jiných důvodů . Mozilla proto vyhodnotila riziko skutečného útoku na dodavatelský řetězec (např. distribuce škodlivých podepsaných instalátorů) jako nízké .
Přijatá opatření
-
Odvolání klíče (revokace): Mozilla odvolala kompromitovaný klíč s důvodovým kódem 2, což ve specifikaci GPG/OpenPGP znamená "klíčový materiál byl kompromitován" (ekvivalent
KEY_COMPROMISE) . -
Náhradní klíč: Byl vydán nový GPG podepisovací podklíč s otiskem:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Tento podklíč je platný do 5. srpna 2028 . Otisk nadřazeného hlavního klíče je
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Ochranné mechanismy: Mozilla zavedla interní opatření, která mají do budoucna zabránit podobným nechtěným commitům .
-
Dopad odvolání: Vzhledem k tomu, že odvolání GPG klíče je trvalé, soubory podepsané starým klíčem přestanou být po importu revokace ověřitelné – to platí i pro starší stažené soubory, nejen pro budoucí .
Kdo musí podniknout kroky
Většina uživatelů – žádná akce není nutná. Oficiální pokyn Mozilly zní: "Pro většinu uživatelů není vyžadována žádná akce" . Automatické aktualizační mechanismy si přechod na nový klíč vyřeší samy.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Mozilla musela odvolat podpisový klíč pro Firefox a Thunderbird. Hrozilo zneužití?"?
Mozilla 10. srpna 2026 oznámila, že zaměstnanec omylem nahrál nešifrovanou kopii GPG privátního podklíče pro podepisování Linuxových artifactů Firefoxu a Thunderbirdu do privátního repozitáře na GitHubu.
What are the key points to validate first?
Mozilla 10. srpna 2026 oznámila, že zaměstnanec omylem nahrál nešifrovanou kopii GPG privátního podklíče pro podepisování Linuxových artifactů Firefoxu a Thunderbirdu do privátního repozitáře na GitHubu. Incident se stal necelý týden po masivním útoku na npm balíčky keyv a cacheable (ChainDrop) ze 4.